Утечка данных Minehut в 2019 году

В этом инциденте подтверждены следующие категории данных: адреса электронной почты и пароли. Указание на то, что поле пароля содержит хеш bcrypt, означает более защищённый способ хранения по сравнению с открытым текстом; однако это не устраняет риски для пользователей полностью. Короткие, предсказуемые пароли или пароли, повторно используемые в других сервисах, со временем могут быть взломаны или использованы в атаках с подбором пароля. Наличие хешей паролей вместе с адресами электронной почты позволяет злоумышленнику нацеливаться на другие игровые аккаунты, аккаунты на форумах, в социальных сетях и почтовых сервисах, связанные с тем же адресом.

Поскольку аккаунты Minehut используются для размещения серверов Minecraft, управления сообществами игроков и общения с друзьями в игре, утечка касается не только старого аккаунта на сайте. Владельцы серверов и активные игроки могли использовать тот же адрес электронной почты в других сервисах Minecraft, сообществах Discord или на форумах. Одного адреса электронной почты может быть достаточно для фишинга; наличие поля пароля также может позволить злоумышленнику пробовать ранее использовавшиеся шаблоны паролей. Поэтому пользователям прежде всего следует выяснить, использовался ли тот же пароль где-либо ещё.

Подтверждённой датой инцидента считается 17 мая 2019 года, датой добавления записи (17 сентября 2019 года, а датой изменения источника) 17 ноября 2019 года. Число затронутых уникальных адресов электронной почты составляет 396 533. Категории данных ограничены адресами электронной почты и паролями. Под полем пароля следует понимать хеши bcrypt. Для этой записи имена пользователей, IP-адреса, даты рождения, физические адреса, платёжная информация, игровые лицензии Minecraft, файлы серверов и содержимое личных сообщений не входят в число подтверждённых категорий данных.

Важно соблюдать эти ограничения. Наличие пользователя в записи Minehut не доказывает, что его аккаунт Minecraft или Microsoft был непосредственно скомпрометирован. Также нельзя утверждать, что все пароли были раскрыты в открытом виде. Риск связан с возможными попытками использовать адреса электронной почты и хеши паролей из скомпрометированной резервной копии для доступа к другим аккаунтам. Надлежащие меры безопасности, установить уникальные пароли в Minehut и других аккаунтах, где используются пароли по тому же шаблону, включить многофакторную аутентификацию и проверить уведомления о подозрительных входах.

К группе наибольшего риска относятся люди, которые создавали сервер на Minehut, управляли игровой средой для компании друзей или использовали тот же адрес электронной почты в других сервисах Minecraft. Владельцы серверов, модераторы и администраторы сообществ могут быть более уязвимы к адресным сообщениям: злоумышленники могут пытаться побудить пользователя к определённым действиям под предлогом старого аккаунта Minehut, продления сервера, доступа к панели управления или восстановления файлов. Связь адреса электронной почты с игровыми сообществами повышает риск сопоставления имён пользователя и его аккаунтов на разных платформах.

Вторая группа риска, пользователи, которые повторно используют пароли. Если пароль от аккаунта Minehut подходит и к другим аккаунтам, например к электронной почте, игровым платформам, форумам, социальным сетям или панелям управления серверами, злоумышленник может попытаться получить более широкий доступ, воспользовавшись одной старой утечкой. Пользователям, которые создали аккаунт в юном возрасте и годами сохраняли один и тот же шаблон пароля, следует быть особенно осторожными. Даже если набор данных не содержит сведений о регистрации, платежах или личности пользователя, сочетание адреса электронной почты и пароля имеет существенное значение для безопасности аккаунтов.

Если вы обнаружили совпадение в этой записи, пароль, который вы могли использовать в аккаунте Minehut, теперь следует считать ненадёжным. Если такой же или похожий пароль используется в других сервисах, для каждого аккаунта нужно выбрать уникальный пароль. В первую очередь следует проверить почтовые аккаунты, игровые платформы, сообщества Minecraft, аккаунты Discord и аналогичных сервисов общения, а также сервисы, в которых проводятся платежи. Во всех аккаунтах, которые это поддерживают, следует включить двухфакторную аутентификацию, завершить активные сеансы и поддерживать актуальность резервного адреса электронной почты и номера телефона для восстановления доступа.

К ссылкам в сообщениях на тему Minehut или серверов Minecraft следует относиться с осторожностью. Сообщения, которые выглядят как обращения от панелей управления серверами, предложения бесплатных улучшений или восстановления файлов, запросы на проверку аккаунта либо предупреждения о безопасности, могут быть поддельными. На страницы входа следует переходить, вручную вводя известный адрес, а не по ссылке из письма. Если в прошлом тот же пароль использовался для электронной почты, её защиту нужно поставить на первое место, поскольку почтовый аккаунт служит каналом восстановления доступа к другим аккаунтам. Если вы заметили подозрительный вход, неожиданный сброс пароля или уведомление о неизвестном устройстве, следует завершить соответствующие сеансы.

В долгосрочной перспективе основная мера защиты, уникальные пароли для игровых аккаунтов, аккаунтов на форумах и аккаунтов для управления серверами. Менеджер паролей упрощает создание разных надёжных паролей для каждого сервиса. Игровые сообщества Minecraft оставляют устойчивые цифровые следы: многие пользователи присоединяются к ним в юном возрасте и годами используют одни и те же псевдонимы. Поэтому не следует недооценивать важность защиты старых игровых аккаунтов. Пользователям стоит проверить свои аккаунты в Minehut или аналогичных сервисах, которыми они больше не пользуются, сократить объём хранящихся там персональных данных и завершить ненужные сеансы.

Пользователям, которые управляют серверами, требуется особая осторожность. Для панели управления сервером, аккаунтов, связанных с плагинами, аккаунтов администраторов сообщества и связанных адресов электронной почты следует использовать отдельные пароли. Если один и тот же пароль использовался повторно, последствия прежней утечки на сайте могут распространиться на права управления сервером. Непредсказуемые ответы на контрольные вопросы, постоянное использование многофакторной аутентификации и защита почтового аккаунта как ключевого элемента безопасности снижают долгосрочный риск. Запись Minehut показывает, что даже игровые сервисы, которые кажутся небольшими, могут реально влиять на безопасность аккаунтов.

Совпадение в этой записи означает, что адрес электронной почты входит в число подтверждённых адресов в наборе данных Minehut. Совпадение не доказывает, что в этом наборе данных присутствуют игровая лицензия Minecraft пользователя, его платёжная информация, дата рождения или личные сообщения. Подтверждённые поля, адреса электронной почты и хеши паролей bcrypt. Учитывая это ограничение, пользователю следует в первую очередь отказаться от повторного использования паролей и усилить защиту почтового аккаунта.

Первый шаг, определить, в каких аккаунтах используются тот же адрес электронной почты и похожие шаблоны паролей. Затем следует установить уникальные пароли для почтового аккаунта, игровых платформ, аккаунтов управления серверами и аккаунтов в социальных сообществах. Нужно включить двухфакторную аутентификацию, проверить активные сеансы и проверить подлинность подозрительных сообщений через отдельный канал связи. Эта запись представляет подтверждённые поля данных без преувеличений; её цель, предложить пользователю конкретные действия по обеспечению безопасности аккаунтов, управлению паролями и защите аккаунтов в игровых сообществах в контексте утечки Minehut.