Утечка данных GameSalad

В результате этой утечки были раскрыты адреса электронной почты, имена пользователей и IP-адреса, а также пароли. Хранение паролей в виде хешей SHA-256 не означает, что пароли хранились в открытом виде. Однако сама по себе SHA-256 не считается наиболее надёжным на сегодняшний день вариантом хранения паролей. Если пароль короткий, предсказуемый или используется и в других учётных записях, злоумышленники могут пытаться получить доступ к различным сервисам с помощью подбора паролей по хешам и автоматизированных попыток входа. Риск возрастает, если те же адрес электронной почты и пароль использовались в образовательных сервисах, инструментах разработки игр, на форумах, в социальных сетях или почтовых аккаунтах.

IP-адреса и имена пользователей также дают дополнительную информацию. Сам по себе IP-адрес не является однозначным доказательством местоположения или личности. Однако в сочетании с адресом электронной почты и именем пользователя он может использоваться для сопоставления профилей, поддельных уведомлений о безопасности и целевых фишинговых сообщений. Пользователями образовательных инструментов и средств создания игр, таких как GameSalad, могут быть учащиеся, независимые разработчики и небольшие команды. Если эти группы связывают учётные записи для работы над проектами с личной электронной почтой, последствия утечки могут затронуть более широкий круг связанных аккаунтов.

Для инцидента GameSalad следует сохранять подтверждённое число 1 506 242. Это значение соответствует числу учётных записей, связанных с инцидентом GameSalad. Упоминание инцидента в рамках более широкой волны продаж данных, включающей другие платформы, не даёт оснований указывать для GameSalad большее число. У одного пользователя может быть несколько учётных записей, в некоторых записях могут сохраняться старые адреса электронной почты, а также могут встречаться технические дубликаты. Поэтому этот показатель следует представлять как число записей об аккаунтах, а не как точное число реальных людей.

Подтверждённые категории данных, адреса электронной почты, IP-адреса, пароли и имена пользователей. Для поля пароля необходимо указывать, что оно содержит хеш SHA-256. Такие поля, как телефон, физический адрес, платёжные данные, данные официального удостоверения личности, дата рождения, личные сообщения, файлы игровых проектов, сведения об устройстве или об учащемся, не следует добавлять в эту запись без подтверждения. Это ограничение позволяет точно сообщать пользователю о рисках и не приписывать утечке неподтверждённые категории данных лишь на основании того, как обычно используется платформа.

Наибольшему риску подвержены пользователи, которые используют пароль от учётной записи GameSalad и в других аккаунтах. На образовательных платформах и платформах разработки игр пользователи часто регистрируются с личными адресами электронной почты. Если те же адрес электронной почты и пароль по-прежнему действуют для входа в почту, игровой магазин, учётную запись учащегося, форум или социальную сеть, прежняя утечка создаёт актуальный риск захвата аккаунта.

Независимым разработчикам, учащимся, преподавателям и владельцам учётных записей небольших команд также следует проявлять осторожность. Имя пользователя и адрес электронной почты могут быть связаны с профилем человека в сообществах разработчиков. IP-адрес тоже может дать дополнительные сведения об обстоятельствах сеанса. Даже если старый аккаунт больше не используется, сохранение того же имени пользователя на разных платформах может позволить злоумышленникам направлять человеку сообщения о поддельных предложениях сотрудничества, обмене проектами, подтверждении аккаунта или образовательных материалах.

Если ваш адрес электронной почты есть в данных GameSalad, убедитесь, что старый пароль от учётной записи GameSalad больше не действует ни на одной другой платформе. Если тот же или похожий пароль использовался где-либо ещё, для каждой учётной записи следует создать отдельный, длинный и трудный для подбора пароль. Использование менеджера паролей снижает риск повторного использования паролей. Небольшого изменения пароля, добавления года в конце или сохранения прежнего шаблона недостаточно.

Следует включить двухфакторную аутентификацию для почтовых аккаунтов, образовательных платформ, инструментов разработки игр, социальных сетей и сервисов с платёжными функциями. Если в истории аккаунта есть незнакомые сеансы, неизвестные устройства, запросы на сброс пароля или уведомления о безопасности, следует завершить сеансы и обновить данные для восстановления доступа. Необходимо внимательно проверять поддельные приглашения к проектам, подарочные коды и сообщения о подтверждении аккаунта, связанные с GameSalad или разработкой игр. Прежде чем переходить по ссылкам, следует независимо проверить адрес и сведения об отправителе.

Инцидент GameSalad показывает, что учётные записи в образовательных инструментах и средствах создания игр нужно защищать не менее тщательно, чем основные аккаунты, связанные с цифровой личностью пользователя. Не следует использовать один и тот же пароль в личных, учебных, разработческих аккаунтах и аккаунтах социальных сетей. Старые учётные записи на платформах нужно регулярно проверять, а неиспользуемые, закрывать либо изолировать с помощью уникальных паролей и многофакторной аутентификации. Использование одного и того же имени пользователя на множестве платформ должно быть осознанным выбором, поскольку оно упрощает сопоставление профилей.

Главный урок для поставщиков сервисов заключается в том, что хеширование паролей не должно ограничиваться одной лишь стандартной хеш-функцией. Для хранения паролей следует отдавать предпочтение современным методам, разработанным специально для паролей и позволяющим регулировать вычислительные затраты. Данные сеансов, такие как IP-адреса, не следует хранить дольше необходимого, а журналы доступа нужно регулярно проверять. При сообщении об инциденте необходимо ясно указывать, какие данные утекли, какие не удалось подтвердить и как масштаб утечки на конкретной платформе соотносится с более крупными показателями всего архива.

При проверке наличия записи в данных утечки GameSalad результат показывает, найден ли введённый адрес электронной почты в этом подтверждённом наборе данных. Если результат положительный, адрес электронной почты, имя пользователя, IP-адрес и хеш пароля SHA-256 следует считать данными, связанными с риском. Отрицательный результат означает, что в этом конкретном наборе данных совпадение не найдено; он не означает, что человек не был затронут другими утечками. Поэтому результат следует трактовать только в контексте инцидента GameSalad.

Правильные действия пользователя, полностью отказаться от старого пароля, заменить все повторно используемые пароли, защитить почтовый аккаунт многофакторной аутентификацией и проверить учебные, разработческие или игровые учётные записи, созданные с тем же именем пользователя. Давний инцидент создаёт актуальный риск, если те же пароли используются до сих пор. Обнаружив совпадение записи, пользователь должен не только защитить аккаунт GameSalad, но и пересмотреть привычки обращения со всеми аккаунтами, связанными с теми же учётными данными.