Funny Games Утечка данных

Наиболее существенный подтверждённый аспект этой утечки, то, что пароли представлены в виде хешей MD5 с солью. Использование соли снижает вероятность того, что у аккаунтов с одинаковыми паролями будут одинаковые значения хешей; однако MD5 считается слабым алгоритмом по современным требованиям безопасности. Если пароль короткий, предсказуемый или уже встречался в предыдущей утечке, вероятность его восстановления по хешу возрастает. Это повышает риск захвата не только аккаунта Funny Games, но и аккаунтов электронной почты, игр, социальных сетей, форумов или интернет-магазинов, где повторно используется тот же пароль.

Получив вместе адреса электронной почты и имена пользователей, злоумышленники могут увидеть, под каким псевдонимом и с каким адресом электронной почты зарегистрировался владелец аккаунта. Эту связку данных можно использовать в адресных фишинговых сообщениях, на поддельных страницах входа и при попытках сбросить пароль. Наличие IP-адресов может дать дополнительную информацию о подключениях пользователя. Сам по себе IP-адрес не позволяет достоверно установить личность, но в сочетании со сведениями о времени, местоположении и сеансах он повышает риск составления профиля пользователя.

Число подтверждённых записей следует указывать как 764 357. Это количество записей в файле с утёкшими данными; не каждая запись обязательно соответствует отдельному реальному человеку. Один человек мог создать несколько аккаунтов, старые и действующие адреса электронной почты могли попасть в отдельные записи, а технические причины могли привести к дублированию записей. Поэтому при оценке масштаба утечки нужно сохранять это число, но не представлять количество затронутых людей как достоверно установленное.

Подтверждённые поля данных для этой записи, адреса электронной почты, IP-адреса, имена пользователей и пароли. Для поля пароля следует уточнять, что речь идёт о хеше MD5 с солью. Пароли в открытом виде, данные платёжных карт, номера удостоверений личности, полные адреса проживания, номера телефонов, даты рождения, историю внутриигровых платежей и данные личных сообщений не следует добавлять в эту запись без подтверждения. Поскольку сведения о стране также не подтверждены явно, не следует связывать местонахождение компании с конкретной страной. Это позволяет не представлять пользователю чрезмерно широкое или необоснованное описание утечки.

Наибольшему риску подвергаются пользователи, которые повторно используют пароль от аккаунта Funny Games на других платформах. Если адрес электронной почты и имя пользователя также совпадают, злоумышленники могут атаковать разные аккаунты с помощью автоматизированных попыток входа. Пароли старых игровых аккаунтов нередко остаются неизменными годами, поэтому даже давность инцидента не устраняет риск полностью. Если старый пароль до сих пор используется в другом действующем аккаунте, эта запись по-прежнему имеет практическое значение для безопасности.

Аккаунты, созданные для детей и юных игроков, также требуют внимательной оценки. Имена пользователей на игровых и развлекательных сайтах иногда повторяются в социальных сетях, мессенджерах, на стриминговых платформах или форумах. Такое повторение может позволить связать онлайн-личность человека на разных площадках. Наличие IP-адреса также даёт дополнительные сведения о том, откуда выполнялись подключения к аккаунту. Поэтому владельцу следует проверить не только игровой аккаунт, но и все аккаунты, связанные с тем же адресом электронной почты и псевдонимом.

В случае этой утечки владельцу адреса электронной почты прежде всего следует убедиться, что старый пароль от аккаунта Funny Games больше нигде не используется. Если такой же или похожий пароль использовался в другом аккаунте, его следует немедленно заменить надёжным и уникальным. Менеджер паролей позволяет создавать для каждого аккаунта отдельный, длинный и трудноподбираемый пароль, снижая риск повторного использования. При смене пароля недостаточно изменить только последний символ или слегка дополнить прежний шаблон.

Многофакторную аутентификацию следует включить в аккаунтах электронной почты, игр, социальных сетей и во всех сервисах, связанных с финансовыми операциями. Если в истории активности аккаунта обнаружены посторонний доступ, незнакомые устройства, неожиданные запросы на сброс пароля или письма о безопасности, следует завершить сеансы и обновить способы восстановления доступа. Даже если утечка телефонных или платёжных данных в этом инциденте не подтверждена, злоумышленники могут использовать адрес электронной почты, имя пользователя и старый пароль в сообщениях, которые выглядят заслуживающими доверия. Поэтому к полученным ссылкам и вложениям следует относиться внимательно.

Хотя эта утечка произошла давно, её долгосрочный урок состоит в том, что пароль не должен оставаться единственным уровнем защиты. Пользователям следует применять уникальные пароли для каждого аккаунта, обязательно использовать многофакторную защиту для важных аккаунтов и регулярно проверять старые игровые аккаунты и аккаунты на форумах. Неиспользуемые аккаунты по возможности следует закрыть; если это невозможно, нужно установить уникальный пароль и свести сведения в профиле к минимуму.

Организациям следует отказаться от устаревших методов хеширования, таких как MD5, и при хранении паролей отдавать предпочтение современным алгоритмам с настроенной вычислительной стоимостью. Старые фрагменты кода, оставленные в системе, со временем создают скрытый технический долг в сфере безопасности. Поэтому в приложениях, обрабатывающих данные аккаунтов, нужно постоянно вести учёт кода, работать с журналами доступа, проверять зависимости и регулярно проводить тестирование безопасности. В уведомлениях для пользователей следует чётко разграничивать, какие поля данных затронуты, какие не затронуты и что необходимо сделать пользователю.

При проверке по данным утечки Funny Games результат показывает, найден ли адрес электронной почты человека в этом наборе данных. Если результат положительный, имя пользователя, адрес электронной почты, IP-адрес и хеш пароля следует считать находящимися под угрозой. Если результат отрицательный, это означает, что в данном конкретном наборе данных совпадение не найдено; это не означает, что данные человека не попадали в другие утечки. Поэтому оценку безопасности не следует ограничивать одной записью.

Для этой записи правильные действия пользователя, отказаться от старых паролей, установить уникальный пароль, включить многофакторную аутентификацию и проверить историю событий безопасности в других аккаунтах с тем же адресом электронной почты. Если хеш пароля оказался раскрыт в прошлом инциденте, злоумышленники могут повторно использовать эти данные даже спустя годы. Пользователям следует полностью отказаться от прежних шаблонов паролей, особенно использовавшихся для игровых и развлекательных аккаунтов, и не считать предупреждения о безопасности несущественными лишь из-за давности инцидента.