Утечка данных Light's Hope

Утечка не ограничилась данными для входа. Сочетание адреса электронной почты и имени пользователя упрощает злоумышленникам поиск человека в других играх, на форумах или в социальных сетях, где он использует тот же псевдоним. Дата рождения, персональная информация, которую могут использовать при ответах на контрольные вопросы для сброса пароля или в переписке от имени поддельной службы поддержки. IP-адрес и сведения о географическом местоположении могут указывать на примерный регион пользователя и особенности его подключений. Сами по себе эти сведения не считаются однозначным подтверждением личности, но в сочетании с другими записями повышают риск составления профиля пользователя. Наличие личных сообщений создаёт не только технические риски, но и угрозу конфиденциальности: третьи лица могут использовать во вред переписку между игроками, сведения об отношениях в игре, спорах или информацию, указывающую на другие платформы. Пароли, хранящиеся с использованием Bcrypt, не являются паролями в открытом виде, однако нельзя игнорировать риск офлайн-атак на слабые или повторно используемые пароли.

Подтверждённый объём утечки ограничивается данными участников форума Light's Hope. Этот инцидент не следует считать утечкой базы официальных аккаунтов World of Warcraft, Blizzard или Battle.net: имеющиеся у нас подтверждённые сведения относятся к сообществу Light's Hope и аккаунтам его форума. В техническом описании, приведённом в прессе, отмечается, что был скомпрометирован аккаунт с доступом к административному разделу форума, после чего были извлечены данные пользователей форума. Поэтому нельзя делать вывод о наличии в записи сведений о платёжных картах, официальных идентификационных номеров, физических адресов, телефонных номеров или банковских данных. Игровые персонажи, внутриигровые предметы, официальные подписки и история платежей также не входят в подтверждённый состав утечки. Число затронутых аккаунтов, 30 484, означает количество уникальных пользовательских аккаунтов; категории данных представлены полями адреса электронной почты, имени пользователя, даты рождения, географического местоположения, IP-адреса, хеша пароля и заголовков личных сообщений.

Наибольшему риску подвержены люди, которые используют в других игровых сообществах тот же адрес электронной почты или имя пользователя, что и на форуме Light's Hope. Если один пароль используется в нескольких местах, одного лишь безопасного хранения пароля на форуме недостаточно: после утечки злоумышленники могут пытаться войти в другие аккаунты с тем же адресом электронной почты, пробуя похожие пароли. Пользователи, в личных сообщениях которых есть ссылки на Discord, адреса электронной почты, игровые псевдонимы, имена персонажей или сведения о круге друзей, могут столкнуться с целенаправленной травлей, поддельными сообщениями службы поддержки или мошенничеством. Поскольку в старых сообществах частных серверов один и тот же псевдоним нередко используется годами, прежние данные форума могут быть связаны с новыми аккаунтами. Дата рождения и сведения о географическом местоположении также создают дополнительные риски для конфиденциальности, особенно для молодых пользователей, издателей, менеджеров сообществ и игроков, использующих один и тот же псевдоним в публичном пространстве. Несмотря на небольшой объём данных этого игрового форума, запись требует осторожного обращения из-за содержащихся в ней личных сообщений и дат рождения.

Если пароль, использовавшийся на форуме Light's Hope, до сих пор действует в каком-либо другом аккаунте, немедленно замените его уникальным длинным паролем. По отдельности проверьте игровые аккаунты, привязанные к тому же адресу электронной почты, аккаунты в социальных сетях и сервисах обмена сообщениями, а также старые аккаунты на форумах. Оптимальный первый шаг, при смене паролей установить отдельный пароль для каждого аккаунта и включить двухфакторную аутентификацию везде, где это возможно. С осторожностью относитесь к письмам, которые выглядят как сообщения от Light's Hope, старых игровых серверов, службы поддержки форума или менеджера сообщества: имена пользователей, даты рождения или сведения об IP-адресах из утечки могут быть использованы, чтобы сделать сообщение более убедительным. Если в личных сообщениях вы делились сведениями о других людях, уместно также кратко и понятно сообщить им о ситуации. Если в истории аккаунта появились необычные сеансы, неизвестные устройства, письма о сбросе пароля или неожиданные запросы на добавление в друзья, завершите активные сеансы соответствующего аккаунта и сбросьте пароль.

Этот инцидент показывает, что аккаунты, созданные в старых игровых сообществах, могут оставаться источником риска даже спустя годы. В долгосрочной перспективе для каждого аккаунта на форуме, в игре или сообществе следует использовать уникальный пароль. Организуйте работу с паролями так, чтобы их было легко запоминать, но трудно угадывать. По возможности используйте менеджер паролей, чтобы проверить, в каких старых аккаунтах пароли повторяются. Один и тот же псевдоним на разных площадках может помогать узнаваемости в сообществе, но одновременно упрощает установление связей между аккаунтами и создаёт риски для конфиденциальности. Особенно осознанно выбирать, как использовать свой псевдоним, следует пользователям, которые ведут личную переписку, публично выступают как стримеры или имеют аккаунты в социальных сетях. После утечки неизменяемых персональных сведений, таких как дата рождения, вернуть их под свой контроль невозможно. Поэтому при создании нового аккаунта безопаснее не указывать реальные данные в необязательных полях с персональной информацией. Также следует помнить, что сведения, переданные в личных сообщениях на форумах, могут сохраняться как постоянная запись.

Эту запись стоит проверить тем, у кого есть аккаунт на форуме Light's Hope или кто мог использовать в этом сообществе тот же адрес электронной почты. Если обнаружено совпадение, в первую очередь установите разные пароли для всех аккаунтов, в которых ранее повторно использовался пароль от форума. Поскольку электронная почта, ключевой элемент безопасности, сначала убедитесь, что её пароль уникален и включена двухфакторная аутентификация. Затем проверьте старые регистрации с тем же адресом электронной почты в играх, на форумах, в сервисах обмена сообщениями и социальных сетях. Даже если совпадения нет, стоит проверить, не использовались ли пароли того же периода повторно в других старых сообществах. Инцидент Light's Hope не подтверждён как утечка платёжных данных или данных официальных игровых аккаунтов. Тем не менее сочетание адреса электронной почты, имени пользователя, IP-адреса, даты рождения, личных сообщений и хеша пароля создаёт реальный риск для пользователей. Поэтому наиболее обоснованные меры, использовать разные пароли, осторожно относиться к подозрительным сообщениям и регулярно проверять старые аккаунты в сообществах.