Games Box Утечка данных

Главный риск в случае Games Box связан с тем, что пароли хранились не только в виде хешей, но и, в некоторых записях, в открытом виде. Пароль в открытом виде позволяет злоумышленнику сразу попытаться использовать его, не тратя время на взлом хеша. Если тот же пароль используется для другого почтового аккаунта, игры, социальной сети, форума или интернет-магазина, сразу возникает риск захвата аккаунта. Пароли в виде хешей также нельзя считать безопасными: слабые или повторно используемые пароли могут быть раскрыты со временем.

Когда адреса электронной почты, имена пользователей, сведения о возрасте и поле доступны вместе, возрастает риск адресного мошенничества и составления профилей пользователей. Сами по себе сведения о возрасте и поле не считаются идентифицирующими данными с серьёзными последствиями при утечке. Однако в сочетании с адресом электронной почты и именем пользователя они позволяют создавать более убедительные поддельные уведомления, мошеннические предложения, связанные с игровыми аккаунтами, и фишинговые сообщения. Поэтому пользователю следует проверить не только свой пароль, но и другие платформы, где используются те же сведения профиля.

Подтверждённое число для этой записи должно оставаться равным 1 439 354. Это количество уникальных адресов электронной почты в наборе данных; отдельная запись не обязательно соответствует одному реальному человеку. На интерпретацию этого числа могут влиять несколько аккаунтов, созданных одним человеком, старые адреса электронной почты, представленные отдельно, или дубликаты данных. Кроме того, повторное распространение данных этого инцидента в составе более крупного архива само по себе не даёт оснований расширять объём, указанный в этой записи.

Подтверждённые категории данных, сведения о возрасте, адреса электронной почты, сведения о поле, пароли и имена пользователей. Пароли могут быть представлены в виде хешей или в открытом виде; это различие необходимо сохранять в описании. IP-адреса, номера телефонов, физические адреса, данные платёжных карт, официальных удостоверений личности, личные сообщения, история внутриигровых покупок и сведения об устройствах не входят в число подтверждённых полей, поэтому их нельзя добавлять в запись. Риски для пользователя следует объяснять только на основе подтверждённых категорий данных.

Наибольшему риску подвергаются пользователи, которые используют пароль от аккаунта Games Box и в других аккаунтах. Наличие пароля в открытом виде облегчает злоумышленникам попытки использовать его на разных сервисах. Даже если аккаунт на старом игровом сайте больше не используется, риск сохраняется, когда тот же пароль по-прежнему действует в активном аккаунте электронной почты, игрового магазина, социальной сети или форума. Старые игровые аккаунты, созданные на имя молодых пользователей, особенно легко забыть, однако те же адрес электронной почты и пароль могут годами использоваться на других платформах.

Для пользователей, чьи данные содержат сведения о возрасте и поле, следует также оценить риск адресных сообщений. Злоумышленники могут использовать эти поля для создания сообщений, которые выглядят персонализированными: об акциях, наградах, проверке аккаунта или внутриигровых подарках. Если то же имя пользователя используется в других играх и на социальных платформах, возрастает риск сопоставления профилей. Поэтому при обнаружении совпадения пользователю следует проверить не только аккаунт Games Box, но и все аккаунты, связанные с теми же адресом электронной почты и именем пользователя.

Пользователям, чьи адреса электронной почты затронуты этой утечкой, прежде всего нужно убедиться, что пароль от аккаунта Games Box не используется ни в одном другом аккаунте. Если такой же или похожий пароль использовался на другом сервисе, его следует немедленно заменить уникальным, длинным паролем, который трудно угадать. Менеджер паролей упрощает создание отдельного пароля для каждого аккаунта. Из-за риска, связанного с паролями в открытом виде, замены лишь нескольких символов или добавления цифр в конце недостаточно.

Следует включить двухфакторную аутентификацию в аккаунтах электронной почты, игровых магазинов, социальных сетей, форумов и платформ, связанных с платежами. Если в истории аккаунта есть незнакомое устройство, неожиданный вход, запрос на сброс пароля или подозрительное уведомление о безопасности, нужно завершить все сеансы и обновить данные для восстановления доступа. Прежде чем переходить по ссылкам в сообщениях о внутриигровых наградах, бесплатном пополнении баланса, подарочных кодах или проверке аккаунта, следует независимо проверить адрес и сведения об отправителе.

Инцидент Games Box показывает, что пароли от старых игровых сайтов могут стать проблемой безопасности даже спустя годы. Пользователям не следует использовать один и тот же пароль для игр, форумов, электронной почты, социальных сетей и интернет-магазинов. Аккаунты, которые больше не используются, следует закрыть. Если закрыть аккаунт невозможно, нужно установить уникальный пароль и свести к минимуму сведения в профиле. Использовать одно и то же имя пользователя на нескольких платформах также следует осознанно, поскольку это облегчает сопоставление профилей.

Главный урок для поставщиков сервисов: пароли ни при каких обстоятельствах нельзя хранить в открытом виде. Для хранения паролей следует использовать современные алгоритмы хеширования с настроенным параметром вычислительной сложности, а меры контроля доступа необходимо регулярно проверять. Такие поля профиля, как возраст и пол, не следует хранить дольше необходимого. В соответствии с принципом минимизации данных нужно сохранять только действительно нужную информацию. При сообщении об инциденте следует чётко указывать, какие поля хешированы, а какие представлены в открытом виде.

При проверке по данным утечки Games Box результат показывает, присутствует ли введённый адрес электронной почты в этом подтверждённом наборе данных. Если совпадение найдено, адрес электронной почты, имя пользователя, сведения о возрасте, поле и пароле следует считать подверженными риску. Поскольку в некоторых записях пароль может быть в открытом виде, к положительному результату нужно отнестись серьёзно. Отрицательный результат означает, что в этом конкретном наборе данных совпадений нет; он не доказывает, что данные человека не были затронуты другими утечками.

Правильные действия пользователя, полностью отказаться от старого пароля, заменить повторно используемые пароли на всех платформах, включить многофакторную защиту важных аккаунтов и проверить другие игровые или социальные аккаунты, созданные с тем же именем пользователя. Не следует считать риск незначительным лишь потому, что инцидент произошёл давно или сайт больше не работает. Пароль, который мог оказаться в открытом виде, способен дать злоумышленникам достаточно данных для попыток захвата аккаунтов даже спустя годы.