Dalam insiden keselamatan siber yang ketara yang melibatkan francais permainan RPG aksi popular Path of Exile, pembangun Grinding Gear Games telah mendedahkan pelanggaran data serius yang berlaku melalui kompromi akaun pentadbir. Pelanggaran ini telah mendedahkan maklumat pengguna yang sensitif dan menjejaskan akses akaun untuk ramai pemain di kedua-dua Path of Exile dan Path of Exile 2.
Pelanggaran Keselamatan
Akaun ujian pembangun yang terlupa yang dikaitkan dengan Steam telah menjadi titik masuk untuk penyerang, yang berjaya meyakinkan sokongan Steam untuk memberikan mereka akses. Akaun yang dikompromi ini mempunyai keistimewaan pentadbir di laman web Path of Exile, memberikan penyerang akses kepada alat sokongan pelanggan dan data pengguna yang sensitif. Kesan pelanggaran ini diburukkan lagi oleh pepijat dalam sistem log peristiwa yang membolehkan penyerang menyembunyikan jejak mereka dengan memadam bukti perubahan kata laluan.
Skop Serangan
Pelanggaran ini mengakibatkan 66 akaun mengalami perubahan kata laluan secara rawak oleh penyerang. Yang lebih membimbangkan ialah pendedahan maklumat peribadi untuk sejumlah besar akaun seperti yang dinyatakan oleh syarikat. Data yang dikompromi termasuk alamat e-mel, ID Steam, alamat IP, maklumat penghantaran, dan kod buka kunci rantau. Selain itu, sejarah transaksi dan mesej peribadi, termasuk beberapa antara kakitangan, berkemungkinan telah diakses.
- Bilangan akaun yang memerlukan penukaran kata laluan secara paksa: 66
- Jenis-jenis data yang terdedah:
- Alamat emel
- ID Steam
- Alamat IP
- Alamat penghantaran
- Kod pembukaan kunci kawasan
- Sejarah transaksi
- Sejarah mesej peribadi
Implikasi Keselamatan
Penyerang berpotensi untuk membuat rujukan silang alamat e-mel yang diperoleh dengan senarai kata laluan yang telah dikompromi yang tersedia secara awam, mewujudkan risiko keselamatan tambahan untuk pengguna yang menggunakan semula kata laluan di pelbagai perkhidmatan. Keupayaan ini, digabungkan dengan akses kepada kod buka kunci, boleh membolehkan pemintasan sekatan khusus rantau pada akaun.
Langkah-langkah Pemulihan
Grinding Gear Games telah melaksanakan beberapa penambahbaikan keselamatan segera. Syarikat telah menguatkuasakan sekatan IP yang lebih ketat dan melarang penyambungan akaun pihak ketiga kepada akaun kakitangan. Mereka juga telah membaiki pepijat log audit yang membolehkan penyerang menyembunyikan aktiviti mereka. Walau bagaimanapun, perlu diperhatikan bahawa permainan ini masih kekurangan pengesahan dua faktor, satu ciri keselamatan yang kini diminta oleh ramai pengguna.
Langkah-langkah keselamatan yang dilaksanakan:
- Peningkatan sekatan IP
- Pembuangan sambungan akaun pihak ketiga untuk kakitangan
- Pembaikan sistem log audit
- Penetapan semula kata laluan wajib untuk akaun pentadbir
Cadangan untuk Pengguna
Pemain sangat dinasihatkan untuk menukar kata laluan mereka dan menyemak tetapan keselamatan akaun mereka. Mereka yang telah menggunakan kata laluan yang sama di pelbagai perkhidmatan harus lebih berwaspada. Sementara pembangun terus mengukuhkan langkah-langkah keselamatan mereka, pengguna harus mempertimbangkan untuk menggunakan kata laluan yang kukuh dan unik untuk akaun permainan mereka dan sentiasa memantau aktiviti akaun mereka untuk sebarang tingkah laku yang mencurigakan.