Утечка данных GamingMonk

В результате этой утечки были раскрыты адреса электронной почты и имена пользователей, а также имена, номера телефонов и даты рождения. Такое сочетание позволяет злоумышленникам составлять сообщения, которые выглядят персонализированными. Номера телефонов могут использоваться для мошенничества через SMS, звонков от имени службы поддержки и мошеннических схем с подтверждением аккаунта. Даты рождения повышают уровень риска, поскольку некоторые сервисы используют их в качестве ответа на контрольный вопрос или вспомогательного средства для подтверждения личности.

Хранение паролей в виде хешей bcrypt обеспечивает более надежную защиту, чем хранение в открытом виде. Тем не менее короткие, слабые пароли и пароли, повторно используемые в других аккаунтах, по-прежнему создают риск. Если один и тот же пароль использовался на платформах для электронной почты, игр, социальных сетей, турниров или платежей, злоумышленники могут использовать старые данные для новых попыток входа. Поэтому пользователям, чьи данные найдены в утечке, следует проверить как свой пароль, так и настройки безопасности аккаунтов, связанных с их номером телефона и датой рождения.

В этой записи следует указывать подтвержденное число 654 510. Оно отражает количество уникальных адресов электронной почты; при этом не каждая запись обязательно соответствует отдельному реальному человеку. У одного пользователя может быть несколько аккаунтов, старые адреса электронной почты могут фигурировать отдельно, а в данных могут встречаться дубликаты. Тем не менее сочетание номеров телефонов, дат рождения и хешей паролей делает эту утечку данных игрового сообщества инцидентом с серьезными последствиями.

Подтвержденные категории данных, даты рождения, адреса электронной почты, имена, пароли, номера телефонов и имена пользователей. Для поля пароля необходимо указывать, что это хеш bcrypt. Почтовые адреса, платежные сведения, данные официальных удостоверений личности, личные сообщения, сведения об устройствах, IP-адреса, внутриигровой инвентарь и историю покупок не следует добавлять в запись, поскольку они не входят в число подтвержденных полей. Продолжение работы платформы под другим брендом само по себе не является достаточным основанием для включения новых категорий данных в охват инцидента.

Наибольшему риску подвержены пользователи, которые используют пароль от аккаунта GamingMonk и в других сервисах. На киберспортивных и турнирных платформах пользователи часто создают аккаунты, указывая личный адрес электронной почты и номер телефона. Эти сведения могут использоваться в поддельных приглашениях на турниры, уведомлениях о наградах, сообщениях о подтверждении аккаунта или обращениях от имени службы поддержки. Имея номер телефона и дату рождения, злоумышленники могут сделать свои сообщения более личными и убедительными.

Стоит также проявлять осторожность игрокам, активно участвующим в индийских игровых сообществах, участникам турниров и тем, кто использует одно и то же имя пользователя на разных платформах. Если это имя используется также в социальных сетях, на стриминговых платформах или в игровых магазинах, повышается риск сопоставления профилей. Даже если аккаунт больше не активен, риск сохраняется, пока номер телефона и адрес электронной почты остаются действующими. Поэтому не следует ограничиваться проверкой старого аккаунта на платформе.

Если ваш адрес электронной почты присутствует в этой записи, убедитесь, что старый пароль от аккаунта GamingMonk больше не используется ни в одном другом аккаунте. Если такой же или похожий пароль использовался в других сервисах, немедленно замените его на длинный, уникальный пароль, который трудно угадать. Использование менеджера паролей снижает риск повторного использования паролей. Хотя хеширование Bcrypt обеспечивает более надежное хранение, оно не делает повторное использование пароля безопасным.

Включите многофакторную аутентификацию в почтовых и игровых аккаунтах, социальных сетях, сервисах, связанных с платежами, и аккаунтах, привязанных к номеру телефона. Также проверьте безопасность личного кабинета у оператора связи и защиту от несанкционированной замены SIM-карты. Получив приглашение на неизвестный турнир, уведомление о награде, сообщение о подтверждении аккаунта или звонок от имени службы поддержки, самостоятельно проверьте адрес и отправителя, прежде чем переходить по ссылке. К подозрительным SMS и звонкам тоже следует относиться серьезно.

Инцидент GamingMonk показывает, что сведения, собираемые при создании аккаунтов на киберспортивных платформах и в игровых сообществах, например номера телефонов и даты рождения, могут создавать долгосрочные риски. Не используйте одни и те же шаблоны паролей и имен пользователей в аккаунтах на турнирных платформах, в играх и социальных сетях. Неиспользуемые аккаунты следует закрыть или защитить отдельным уникальным паролем. Оставляйте включенными уведомления безопасности в аккаунтах, привязанных к номеру телефона, и регулярно проверяйте способы восстановления доступа.

Главный урок для поставщиков услуг, уделять внимание не только безопасности паролей, но и сокращению сбора ненужных персональных данных. Такие сведения, как номер телефона и дата рождения, не следует хранить, если в них нет реальной необходимости. Если они необходимы, нужно строго контролировать доступ, вести журналы аудита и соблюдать сроки хранения данных. Для хранения паролей следует использовать надежные методы, а в отчетах об инцидентах четко указывать, какие поля были затронуты и какие не были подтверждены.

При проверке данных об утечке GamingMonk результат показывает, найден ли введенный адрес электронной почты в этом подтвержденном наборе данных. При положительном результате следует считать, что адрес электронной почты, имя, имя пользователя, номер телефона, дата рождения и хеш пароля bcrypt находятся под угрозой. Отрицательный результат означает, что в этом конкретном наборе данных совпадение не найдено; это не доказывает, что человек не был затронут другими утечками. Результат следует рассматривать только в контексте инцидента GamingMonk.

Правильные действия, полностью отказаться от старого пароля, заменить все повторно используемые пароли, включить многофакторную защиту в почтовых и игровых аккаунтах, проверить аккаунты, привязанные к номерам телефонов, и усилить настройки безопасности в сервисах, использующих дату рождения для подтверждения личности. Не следует считать риск незначительным только потому, что инцидент произошел давно или у платформы сменился владелец. Такие сведения, как номера телефонов и даты рождения, могут использоваться для адресного мошенничества даже спустя годы.