Android : Les données de plus d’un million de joueurs exposées

Sécurité : L’éditeur de jeux Android EskyFun a exposé les données de plus d’un millions de joueurs, par le biais d’un serveur non sécurisé.

Des développeurs de jeux populaires sur Android ont exposé des informations appartenant à des utilisateurs de leurs applications par le biais d’un serveur non sécurisé.

Dans un rapport partagé avec ZDNet, l’équipe de cybersécurité de vpnMentor, dirigée par Noam Rotem et Ran Locar, a révélé qu’EskyFun disposait d’un serveur de 134 Go exposé et rendu public en ligne.

EskyFun est un développeur de jeux sur Android, parmi lesquels on compte Rainbow Story : Fantasy MMORPGAdventure StoryThe Legend of the Three Kingdoms, et Metamorph M.

 

Plus d’un million de joueurs concernés

Jeudi, l’équipe de vpnMentor a annoncé que les utilisateurs des jeux Rainbow Story : Fantasy MMORPGMetamorph M, et Dynasty Heroes : Legends of Samkok étaient concernés par la fuite de données. Ensemble, ces jeux représentent plus de 1,6 million de téléchargements. Au total, il y aurait potentiellement 365 630 387 enregistrements de données, datant de juin 2021 et après, qui seraient concernés par cette fuite, avec des données collectées sur un système de roulement de sept jours.

Les chercheurs en cybersécurité ont également noté que les développeurs imposent des « paramètres de suivi, d’analyse et de permissions agressifs et profondément troublants » pour les applications téléchargées et installées. Par conséquent, les données collectées pourraient être encore pires que ce qu’on pourrait attendre de données collectées depuis des jeux mobiles.

Parmi les données exposées, il y avait des adresses IP, des IMEI, des informations sur les appareils, des numéros de téléphone, des informations sur le système d’exploitation utilisé, les journaux d’événements des appareils mobiles, si un casque était branché ou non, les rapports d’achat et de transaction des jeux, les adresses électroniques, les mots de passe des comptes EskyFun stockés en clair et les demandes d’assistance.

Silence persistant
vpnMentor soupçonne qu’un million d’utilisateurs, voire plus, pourraient avoir vu leurs informations exposées.
Le serveur non sécurisé a été découvert le 5 juillet, et EskyFun a été contacté deux jours plus tard. Cependant, vpnmentor n’ayant reçu aucune réponse, une deuxième tentative a été faite le 27 juillet. Le silence persistant de l’éditeur de jeux a conduit l’équipe à contacter également le Hong Kong CERT, et le serveur a été sécurisé le 28 juillet.
« Une grande partie de ces données étaient incroyablement sensibles, et il n’y avait aucune raison pour qu’une société de jeux vidéo conserve des fichiers aussi détaillés sur ses utilisateurs », ont commenté les chercheurs. « De plus, en ne sécurisant pas ces données, EskyFun a potentiellement exposé plus d’un million de personnes à la fraude, au piratage et à bien pire encore. »
ZDNet a contacté EskyFun mais l’entreprise n’a pas encore répondu.


Source : ZDNet.com
Catégories