Утечка данных MagicDuel

В этой записи обнаружены следующие типы данных: адреса электронной почты, IP-адреса, никнеймы игроков и пароли. По результатам оценки пароли хранятся в формате bcrypt. Хотя это надёжный способ хранения, слабые пароли, которые используются повторно, представляют риск. Эти категории оценивались по отдельности. Неподтверждённые сведения о платёжных картах, банковских счетах, официальных удостоверениях личности, личных сообщениях, медицинских записях и дополнительные поля профиля не были добавлены в список категорий данных.

Сопоставление никнейма игрока с его электронной почтой может связать игровую личность пользователя с его реальным адресом для связи. Сам по себе адрес электронной почты создаёт риск спама и фишинга, а в сочетании с именем, телефоном, адресом, IP, датой рождения или профессиональными сведениями облегчает злоумышленнику подготовку более персонализированных сообщений. Поэтому при оценке риска учитывалось не только количество записей, но и то, насколько удобно использовать эти поля совместно.

Подтверждённый объём составил 138 443 аккаунта; данные датируются августом 2023 года. Подтверждённые поля данных были сохранены, а поля, по которым проверка ещё не была завершена, исключены. Таким образом, пользователь получает сведения о текущей записи без излишней тревоги, но и без недооценки реального риска.

Вместо категории «Имена пользователей» использовалась категория «Никнеймы», поскольку указанное в сообщениях об утечке поле точнее соответствует имени или прозвищу игрока. Если существовали другие события с похожими названиями, их не объединяли с этой записью в одну крупную утечку. Доменное имя, название компании и сведения об отрасли указывались в максимально узком и корректном контексте. Это также предотвращает добавление дублирующих или ошибочно связанных утечек.

В группу риска входят игроки с аккаунтом MagicDuel и люди, использующие тот же никнейм в других играх. Пользователям, для которых найдено совпадение, следует учитывать не только аккаунт в соответствующем сервисе, но и другие аккаунты с тем же адресом электронной почты, именем пользователя или шаблоном пароля.

В игровых сообществах социальная инженерия может опираться на поддельные сообщения о наградах, проверке аккаунта, приглашениях на мероприятия или предложениях на торговой площадке. Для людей, зарегистрировавшихся с корпоративным адресом электронной почты, риск может выходить за рамки личного аккаунта. Злоумышленники могут использовать имя, должность, телефон, адрес, сведения о покупках, игровой ID или информацию из профессионального профиля, чтобы отправлять более убедительные сообщения. Поэтому пользователям не следует считать найденное совпадение проблемой, ограниченной одним сайтом.

Затронутым пользователям следует сменить пароль MagicDuel, а также пароли аккаунтов в игровых магазинах, электронной почте, социальных сетях и мессенджерах, где используется тот же пароль. Если в записи есть поле пароля, следует сменить пароли во всех аккаунтах, где используется такой же пароль. Если поля пароля нет, основное внимание нужно уделить рискам, связанным с электронной почтой, телефоном и поддельными уведомлениями. В обоих случаях аккаунт электронной почты следует защитить надёжным и уникальным паролем.

Вместо перехода по ссылкам в сообщении следует вручную ввести адрес соответствующего сервиса или воспользоваться записью в доверенном менеджере паролей. Сообщения с кодами подтверждения, полученными по телефону, запросами на сброс пароля, сведениями об отправке посылки, предложениями работы, обращениями службы поддержки, а также уведомлениями о подписке или безопасности не следует принимать за достоверные без проверки через независимый канал.

Игрокам следует использовать уникальный пароль для каждого аккаунта в игре или на форуме и без необходимости не связывать игровые никнеймы с личными аккаунтами. Нужно регулярно удалять старые аккаунты, неиспользуемые номера телефонов и адресные поля, а также избавляться от повторяющихся имён пользователей и одинаковых шаблонов паролей. Пользователям следует применять уникальный пароль для каждого сервиса и по возможности включать двухфакторную аутентификацию.

Для поставщиков услуг базовыми требованиями являются хранение минимально необходимого объёма данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей профиля и уведомление пользователей после утечки. Недостатки защиты игровых аккаунтов также могут привести к потере цифровых активов и репутации в сообществе. В таких случаях точное информирование о масштабе утечки не менее важно, чем устранение технических недостатков: преувеличенные или неполные сведения могут побудить пользователя к неверным действиям.

Сначала пользователю следует проверить эту запись по своему адресу электронной почты. Если найдено совпадение, нужно исходить из того, что поля никнейма, IP и пароля могут быть под угрозой, и сменить пароли во всех игровых аккаунтах, где используется тот же пароль. Отсутствие совпадения не исключает полностью ни прежнего повторного использования паролей, ни использования других адресов электронной почты для того же сервиса. Поэтому важные аккаунты также следует проверить отдельно.

Эта запись сохранила статус подтверждённой; количество записей и типы данных были приведены в соответствие с подтверждёнными значениями. В ходе этой корректировки поля данных оставили в виде канонических категорий на английском языке, видимое пользователю описание написали на турецком языке как оригинальный текст, неподтверждённые поля не добавляли, а отметку о чувствительности данных использовали только тогда, когда её обосновывал характер риска.