Epic Games a annoncé cette nuit avoir fait l'objet d'attaques sur plusieurs de ses forums de discussion. Les données personnelles d'environ 800 000 utilisateurs auraient ainsi été dérobées, dont des mots de passe, salés et hachés.
du coup "Prudence si vous êtes inscrit sur un forum officiel d'Epic Games, dont ceux de l'Unreal Engine et d'Unreal Tournament. L'éditeur vient en effet d'annoncer que ces deux forums ont été « compromis », les assaillants étant repartis avec l'ensemble de la base de données vBulletin des deux sites. Par ailleurs, d'autres forums maison ont été visités, laissant fuiter des mots de passe.
Plusieurs forums concernés par des fuites
Selon l'éditeur, il n'y a aucune raison de s'inquiéter, puisque les bases des forums Unreal Engine et Unreal Tournament ne contiennent aucun mot de passe « sous aucune forme, ni salage, ni hachage, ni donnée en clair ». Par contre, les messages, y compris privés, échangés par les utilisateurs, ainsi que leurs adresses e-mail et diverses informations personnelles entrées dans leur profil sont entre les mains des pirates. Epic Games estime que les utilisateurs de ces forums n'ont pas besoin de changer leur mot de passe.
Simultanément, Epic Games explique que d'autres forums maison, autour d'Infinity Blade, UDK, d'anciens jeux Unreal Tournament et les archives du forum Gears of War ont également été compromises, laissant fuiter cette fois-ci adresses e-mail et mots de passe. Ces derniers sont heureusement salés et hachés, limitant ainsi les risques. L'éditeur recommande toutefois aux personnes ayant été actives sur ces sites après juillet 2015 de changer leur mot de passe par précaution, sur ces sites et sur tous ceux utilisant le même combo mot de passe / adresse e-mail.
Seuls sites épargnés : les forums de Paragon, Fortnite, Shadow Complex et SpyJinx. Au total, les fuites couvrent plus de 800 000 comptes sur ces forums, dont rien qu'un demi-million pour le seul forum Unreal Engine.
Quelques règles de prudence
Pour l'heure, Epic Games a fermé les principaux forums concernés pour cause de maintenance et ceux-ci affichent un certificat HTTPS invalide. Il n'est pas possible pour l'instant de procéder à un changement de mot de passe sur ces sites, la patience est donc de mise.
En attendant, l'utilisation d'un mot de passe fort reste préconisée, idéalement associée avec celle d'un gestionnaire de mot de passe, tel que KeePass, recommandé par la CNIL et certifié en 2011 par l'ANSSI. Il est également important de choisir un mot de passe différent pour chaque service, évitant ainsi que des pirates obtiennent l'accès à plusieurs de vos comptes en ne compromettant qu'une seule plateforme.
