Path of Exile 2 Nhà phát triển thừa nhận vi phạm dữ liệu sau khi thỏa hiệp tài khoản nhân viên

Grinding Gear Games, nhà phát triển đằng sau Path of Exile 2, đã xác nhận vi phạm dữ liệu ảnh hưởng đến một số lượng đáng kể các tài khoản người chơi. Vi phạm, được phát hiện vào tuần ngày 6 tháng 1 năm 2025, xuất phát từ một tài khoản nhà phát triển bị xâm phạm được liên kết với Steam.

Thông tin bị xâm phạm: Vi phạm dữ liệu người chơi nhạy cảm với địa chỉ email, ID hơi, địa chỉ IP, địa chỉ vận chuyển và mã mở khóa. Mặc dù các băm mật khẩu và mật khẩu không thể truy cập trực tiếp thông qua cổng thông tin bị xâm phạm, việc mài các trò chơi thiết bị thừa nhận tiềm năng cho kẻ tấn công sử dụng địa chỉ email bị xâm phạm và danh sách mật khẩu có sẵn công khai để phá vỡ các khóa khu vực trên các tài khoản liên kết với hơi nước. Trong một số trường hợp, lịch sử giao dịch và tin nhắn riêng tư cũng được xem.

Nguồn gốc của vi phạm: Kẻ tấn công đã truy cập vào tài khoản quản trị của nhà phát triển, khai thác lỗ hổng hiện đã được cho phép xóa nhật ký. Truy cập này đã cấp cho kẻ tấn công khả năng xem thông tin người chơi thông qua cổng thông tin nhà phát triển. Sáu mươi sáu tài khoản đã thay đổi mật khẩu bởi kẻ tấn công một cách tùy ý.

Phản hồi của Gear Games Games: Nhà phát triển ngay lập tức hành động, khóa tài khoản bị xâm phạm và đặt lại mật khẩu bắt buộc cho tất cả các tài khoản quản trị viên. Một cuộc điều tra tiếp theo cho thấy tài khoản bị xâm phạm được liên kết với một tài khoản hơi nước cũ, không hoạt động được sử dụng cho mục đích thử nghiệm. Để ngăn chặn các sự cố trong tương lai, công ty đã thực hiện các hạn chế IP chặt chẽ hơn và bị cấm liên kết các tài khoản bên thứ ba với tài khoản nhân viên.

Phản ứng cộng đồng: Phản hồi của người chơi đã được đa dạng. Trong khi một số tính minh bạch của trò chơi Gear Games khen ngợi, những người khác ủng hộ việc thực hiện xác thực hai yếu tố để bảo mật tài khoản nâng cao. Vụ việc nêu bật những lo ngại về người chơi đang diễn ra liên quan đến các biện pháp bảo mật và những cải tiến mong muốn đối với nội dung trong trò chơi và độ khó kết thúc.

Tóm tắt các điểm chính:

• Ngày khám phá: Tuần ngày 6 tháng 1 năm 2025.
• Nguyên nhân: Tài khoản nhà phát triển bị xâm phạm được liên kết với Steam.
• Dữ liệu bị xâm phạm: Địa chỉ email, ID hơi, địa chỉ IP, địa chỉ vận chuyển, mã mở khóa và (trong một số trường hợp) giao dịch và lịch sử tin nhắn riêng tư.
• Hành động của Gear Games: Khóa tài khoản, đặt lại mật khẩu, các biện pháp bảo mật nâng cao (Hạn chế IP chặt chẽ hơn, Cấm tài khoản của bên thứ ba liên kết với tài khoản nhân viên) và sửa lỗi.