Утечка данных Everybody Edits

Подтверждённые типы данных, адреса электронной почты, IP-адреса и имена пользователей. Адрес электронной почты может позволить связать игровой аккаунт с профилями на других сервисах. Имя пользователя, в свою очередь, может помочь установить связь с профилями в социальных сетях, на форумах, стриминговых платформах или с другими игровыми аккаунтами, особенно если оно годами использовалось в игровых сообществах. IP-адрес не указывает напрямую на точный домашний адрес, однако может дать ограниченные сведения о примерном регионе, провайдере или контексте сеанса. Когда эти три типа данных доступны вместе, возрастает риск адресных сообщений, отслеживания аккаунтов и травли внутри сообщества.

Пароли не следует добавлять в перечень типов данных этой утечки. Хотя описание инцидента, опубликованное платформой, содержит рекомендации по безопасности паролей, подтверждённый перечень полей ограничен адресом электронной почты, IP-адресом и именем пользователя. Тем не менее использование одного и того же адреса электронной почты и имени пользователя в других играх или социальных сетях создаёт риск. Злоумышленники могут попытаться захватить аккаунты, сопоставив эти сведения с паролями из других утечек. Поэтому пароль не следует указывать как отдельное поле утёкших данных; риски нужно оценивать прежде всего с точки зрения установления связей между аккаунтами, целевого фишинга и сопоставления с другими утечками.

Эта запись основана на подтверждённых данных о 871 190 аккаунтах. Инцидент связан с файлами, распространёнными 23 марта 2019 года и содержащими данные игровых аккаунтов. Не следует предполагать, что одни и те же поля данных были раскрыты в одинаковом объёме для каждого пользователя: в сообщении платформы отмечалось, что последствия различались для аккаунтов основного сайта, аккаунтов, связанных с Facebook, и других способов входа. Поэтому в публичном описании перечень подтверждённых полей следует ограничивать адресом электронной почты, IP-адресом и именем пользователя, а прочие последствия, зависящие от контекста, учитывать как ограничение охвата, а не как основание для дополнительных предположений.

Не следует распространять описание этого инцидента на категории персональных данных за пределами трёх подтверждённых полей. Кроме того, сам по себе IP-адрес не следует считать сведением о точном местоположении. В собственном заявлении платформы объясняется, что для некоторых связанных аккаунтов возможны последствия для конфиденциальности, например при сопоставлении имени профиля и IP-адреса. Однако эти сведения, выходящие за рамки подтверждённых типов данных, нельзя обобщать на все аккаунты. Такое ограничение помогает пользователям, особенно участникам игровых сообществ, понять реальный риск без необоснованной тревоги.

К группе наибольшего риска относятся люди, которые создали аккаунт Everybody Edits в период с 2010 года до начала 2019 года и использовали то же имя пользователя на других платформах. В игровых сообществах одни и те же имена пользователей часто встречаются на форумах, в социальных сетях, на стриминговых каналах и в других игровых аккаунтах. Это может позволить собрать воедино разные онлайн-профили человека, даже если утёк только адрес электронной почты. Даже устаревший IP-адрес может дать приблизительное представление о том, откуда и в каких условиях пользователь подключался в определённый период.

Дополнительному риску могут подвергаться игроки, использовавшие вход через связанный аккаунт Facebook, бывшие участники игрового сообщества, модераторы, создатели карт и люди, которых узнают по их публичным именам пользователей. Поскольку социальные связи в игровых сообществах сильны, злоумышленники могут отправлять сообщения о былой дружбе, восстановлении аккаунта, внутриигровых наградах или приглашениях на серверы, напоминающие о прежних временах. Молодые пользователи и люди, давно не проверявшие старые аккаунты, могут принять такие сообщения за подлинные. Поэтому риск следует рассматривать не только как техническую возможность захвата аккаунта, но и как угрозу целевых атак внутри сообщества и социальной инженерии.

Если вы используете адрес электронной почты, связанный с вашим аккаунтом Everybody Edits, в других играх, на форумах или в социальных сетях, проверьте настройки безопасности этих аккаунтов. Сократите объём общедоступных сведений в профилях с тем же именем пользователя и убедитесь, что способы восстановления доступа актуальны. Используйте уникальный пароль для каждого аккаунта: даже если пароли не входят в подтверждённый перечень типов данных этой утечки, попытки сопоставить её с другими утечками могут сделать повторное использование паролей опасным. Включите многофакторную аутентификацию для вашей электронной почты.

С осторожностью относитесь к неожиданным сообщениям о внутриигровых наградах, восстановлении старого аккаунта, ностальгических серверах, бесплатном членстве или приглашениях в сообщество. Проверяйте домен перед переходом по ссылке и не отвечайте людям, которые просят личные сведения для восстановления вашего старого игрового аккаунта. Если вы предполагаете, что ваш IP-адрес мог утечь из старого сеанса, помните, что эти данные не указывают на точное местоположение. Тем не менее для лучшей защиты конфиденциальности вы можете проверить настройки маршрутизации модема, безопасности сети и конфиденциальности. Также не стоит без необходимости показывать адрес электронной почты в публичных профилях: это снижает риск адресных сообщений.

Игровые аккаунты обычно считают малозначимыми, но имена пользователей и адреса электронной почты, используемые годами, становятся частью цифровой личности человека. В долгосрочной перспективе важно использовать отдельные пароли для каждого игрового аккаунта и аккаунта сообщества, выбирать отдельные адреса электронной почты для важных аккаунтов и закрывать старые профили. Если вы используете одно и то же имя пользователя на множестве платформ, регулярно проверяйте, какие аккаунты доступны публично. Старые игровые форумы, архивные профили и ссылки на социальные сети в совокупности могут сделать сведения о вас излишне доступными.

Для платформ этот инцидент показывает необходимость тщательно защищать файлы, связанные с удалением старых аккаунтов, и связанные системы входа. Следует сокращать избыточные сроки хранения IP-адресов, ограничивать экспорт пользовательских данных строгим контролем доступа и формировать непредсказуемые ссылки на файлы. Пользователям долгосрочную защиту обеспечивают регулярное удаление ненужных старых аккаунтов, использование масок для адресов электронной почты, включение многофакторной аутентификации и осторожная оценка сообщений из игрового сообщества. Так старые игровые данные не станут первым звеном цепочки, которая может ослабить безопасность нынешних аккаунтов.

Если вы играли в Everybody Edits или создали аккаунт на everybodyedits.com до 2019 года, вам нужно проверить, связан ли ваш адрес электронной почты с этой записью. При совпадении сначала защитите свою электронную почту, затем проверьте другие платформы, где вы использовали то же имя пользователя. Основной риск этого инцидента заключается в возможности связать аккаунты между собой, когда адрес электронной почты, IP-адрес и имя пользователя доступны вместе. Пароль не следует добавлять в эту запись как отдельное поле данных, но для всех важных аккаунтов нужно использовать уникальные пароли, чтобы избежать их повторного использования.

Эта запись описывает утечку данных Everybody Edits в пределах подтверждённого охвата: инцидент связан с данными игрового сообщества от 23 марта 2019 года, число затронутых аккаунтов составляет 871 190, а подтверждённые типы данных, адреса электронной почты, IP-адреса и имена пользователей. Пользователям следует сосредоточиться на защите электронной почты, проверке профилей с тем же именем пользователя, осторожном отношении к неожиданным сообщениям об игре или сообществе и сокращении публичной доступности старых аккаунтов.