Battle.net piraté : des millions de comptes Blizzard potentiellement concernés

dimanche 12 août 2012

" Même dans l’industrie du divertissement, chaque semaine ne rime pas nécessairement avec « amusement » ". L'éditeur ne pouvait mieux dire puisque son équipe de sécurité a détecté " une intrusion non autorisée et illégale dans le réseau interne " de l'entreprise. Blizzard déclare avoir très rapidement pris des mesures pour colmater cette brèche et avoir fait appel aux autorités et à des experts en sécurité pour déterminer la cause de cette violation. Il n'empêche que 17 millions de joueurs sont potentiellement concernés même si, selon la filiale de Vivendi, une partie seulement des joueurs des trois titres utilisant le serveur Battle.net (Diablo, Starcraft et Word of Warcraft) sont réellement touchés par cette attaque.

Blizzard assure n'avoir trouvé " aucun élément prouvant que des informations financières tels que des numéros de carte de crédit, des adresses de facturation ou des noms de personnes ont été compromises ". Les recherches sont toujours en cours, mais jusqu’à présent, rien ne laisse à penser que de telles informations ont pu être touchées, assure l'éditeur.

Il s'avère tout de même que certaines données ont été illégalement consultées, dont une liste d’adresses e-mail reprenant des utilisateurs Battle.net de toutes les régions hormis la Chine. En ce qui concerne les personnes jouant sur des serveurs nord-américains (ce qui comprend généralement les joueurs d’Amérique du Nord, d’Amérique latine, d’Australie, de Nouvelle-Zélande et d’Asie du Sud-Est), la réponse à la question secrète de sécurité et des informations relatives aux Mobile Authenticators et aux Dial-in Authenticators ont été consultés. " D’après les informations dont nous disposons à l’heure actuelle, ces données, à elles seules, ne suffisent PAS pour accéder à un compte Battle.net ", se dédouane Blizzard. En fait, l'accès aux questions de sécurité est en soi un gros problème. Il pourrait permettre de reconstituer les informations nécessaires à la réinitialisation de comptes...

Ce n'est pas tout. " Nous savons également que les versions brouillées de manière cryptographique (et non les versions réelles) de mots de passe Battle.net de personnes jouant sur des serveurs nord-américains ont été volées ", poursuit en effet Mike Morhaime, qui explique sur le site de l'éditeur où en est la situation. " Nous utilisons le protocole Secure Remote Password (SRP) pour protéger ces mots de passe, ce qui rend extrêmement difficile l’extraction du mot de passe réel et qui implique que chaque mot de passe doit être décodé individuellement ". Ce qui n'empêche pas Blizzard, " à titre préventif ", de recommander aux personnes jouant sur des serveurs nord-américains de changer leur mot de passe. Le protocole SRP suffira-t-il à protéger les joueurs ? Un lien est proposé pour changer son mot de passe. Et pour ceux qui utilisent des mots de passe identiques ou ressemblants, à d’autres fins, Blizzard les ancourage vivement à les changer également.

Dans les prochains jours, Blizzard va utiliser un procédé automatisé pour inviter les personnes jouant sur des serveurs nord-américains à changer leur question secrète et la réponse correspondante. L'éditeur invitera aussi les utilisateurs de Mobile Authenticator à mettre à jour le logiciel de leur Authenticator. Et de mettre en garde les joueurs : " les e-mails vous demandant de donner votre mot de passe ou vos informations de connexion sont des e-mails de hameçonnage. Les e-mails provenant de Blizzard Entertainment ne vous demanderont jamais votre mot de passe ".