Утечка данных Zynga

В этом инциденте подтверждены следующие категории данных: адреса электронной почты, пароли, номера телефонов и имена пользователей. По сообщениям, данные паролей представлены значениями SHA-1 с солью, а не открытым текстом; тем не менее для старых и повторно используемых паролей риск сохраняется. Наличие адреса электронной почты и имени пользователя в одном наборе данных упрощает злоумышленникам создание сообщений, похожих на сообщения от настоящих игровых профилей. Для аккаунтов с указанными номерами телефонов возможны дополнительные риски: звонки от мнимой службы поддержки, мошенничество через SMS и попытки восстановления доступа к аккаунту. Наличие финансовой информации в утечке не подтверждено; однако доступ к аккаунту, игровая идентичность, социальные связи и использование того же пароля на других ресурсах создают косвенные риски для более критически важных сервисов.

Инцидент Zynga затронул большой массив пользовательских данных, связанных с аккаунтами в социальных играх компании. Подтверждено, что основная сфера услуг компании, онлайн- и мобильные игры. Поэтому при описании отрасли следует указывать социальные игры и разработку мобильных игр, а не розничную торговлю. Подтверждено, что утечка затронула 172 869 660 уникальных аккаунтов. Перечень полей данных ограничен адресами электронной почты, паролями, номерами телефонов и именами пользователей. Хотя в новостях встречались заявления о более крупных цифрах или других полях данных, в отчётах для пользователей следует указывать только подтверждённые категории. Такое разграничение не снижает риск, связанный с утечкой, но позволяет избежать необоснованных преувеличений в сведениях о количестве записей, датах и полях данных.

Наибольшему риску подвержены игроки Zynga, которые используют один и тот же адрес электронной почты и одинаковые или похожие пароли на разных платформах. В социальных играх, таких как Words With Friends, Draw Something и аналогичные игры, злоумышленники могут отправлять персонализированные сообщения благодаря спискам друзей, игровым псевдонимам и социальным связям. Также важно учитывать игровые аккаунты, созданные давно и впоследствии забытые: старые пароли нередко могли повторно использоваться в других сервисах. Пользователям, указавшим номер телефона, следует внимательнее относиться к поддельным сообщениям о восстановлении аккаунта и звонкам якобы от службы поддержки. Для детей, людей, которые пользуются общими с членами семьи устройствами, и пользователей, связывающих социальные игры с Facebook или похожими сервисами, спектр рисков для конфиденциальности и безопасности аккаунтов шире.

Пользователям, затронутым утечкой, прежде всего следует заменить пароль аккаунта Zynga на уникальный и надёжный. Если тот же или похожий пароль использовался в аккаунте другого игрового сервиса, электронной почты, социальной сети, магазина или финансового сервиса, смену пароля в этих аккаунтах тоже следует считать первоочередной задачей. Менеджер паролей позволяет быстро найти повторяющиеся пароли и создать уникальный пароль для каждого сервиса. Следует проверить адрес электронной почты и номер телефона для восстановления аккаунта, а также удалить незнакомые связанные аккаунты. В сообщениях, которые выглядят так, будто их отправила Zynga или служба поддержки игры, перед переходом по ссылкам следует проверить адрес отправителя. Особая осторожность нужна при получении SMS-подтверждений, сообщений о наградах и подарках или уведомлений об аккаунте, поскольку номер телефона мог попасть в утечку.

В долгосрочной перспективе игровые аккаунты следует защищать так же тщательно, как основную электронную почту и финансовые аккаунты. Для каждого игрового сервиса нужно использовать уникальный пароль и по возможности включать многоэтапную проверку. Следует периодически закрывать старые игровые аккаунты или менять в них пароли. Одинаковое имя пользователя на нескольких платформах упрощает злоумышленникам сопоставление аккаунтов; поэтому для аккаунтов, требующих повышенной защиты, можно выбирать разные имена пользователей и отдельные адреса электронной почты. В семьях родителям следует проверять адреса электронной почты, платёжную информацию и настройки социальных связей в игровых аккаунтах детей. Для организаций также важны правила контроля паролей, не позволяющие сотрудникам использовать в рабочих системах пароли, утёкшие из личных игровых аккаунтов.

Если в результатах LeakData отображается Zynga, это означает, что адрес электронной почты входит в набор данных Zynga за 2019 год. В сочетании с данными имени пользователя и пароля этот результат указывает на повышенный риск захвата аккаунта. Пользователю следует сначала проверить Zynga и связанные игровые аккаунты, затем, другие аккаунты, созданные с тем же адресом электронной почты. Приоритет следует отдать сервисам, где используется тот же пароль, почтовому аккаунту, социальным сетям, игровым магазинам и аккаунтам с привязанными способами оплаты. Дату уведомления не следует путать с датой утечки: основной период инцидента (сентябрь 2019 года, а подтверждённая дата добавления) декабрь 2019 года. Это разграничение необходимо, чтобы реальная хронология рисков корректно отображалась на экране «Безопасность аккаунтов».