Dalam insiden keamanan siber yang signifikan yang mempengaruhi waralaba game RPG aksi populer Path of Exile, pengembang Grinding Gear Games telah mengungkapkan pelanggaran data serius yang terjadi melalui pembobolan akun administratif. Pelanggaran ini telah mengekspos informasi pengguna yang sensitif dan mempengaruhi akses akun untuk banyak pemain di Path of Exile dan Path of Exile 2.
Pelanggaran Keamanan
Sebuah akun pengujian pengembang yang terlupakan yang terhubung ke Steam menjadi titik masuk bagi penyerang, yang berhasil meyakinkan dukungan Steam untuk memberikan mereka akses. Akun yang disusupi ini memiliki hak administratif di situs web Path of Exile, memberikan penyerang akses ke alat dukungan pelanggan dan data pengguna yang sensitif. Dampak pelanggaran ini diperbesar oleh bug dalam sistem pencatatan kejadian yang memungkinkan penyerang menutupi jejak mereka dengan menghapus bukti perubahan kata sandi.
Cakupan Serangan
Pelanggaran ini mengakibatkan 66 akun mengalami perubahan kata sandi secara acak oleh penyerang. Yang lebih mengkhawatirkan adalah tereksposnya informasi pribadi untuk sejumlah besar akun menurut deskripsi perusahaan. Data yang disusupi termasuk alamat email, ID Steam, alamat IP, informasi pengiriman, dan kode pembuka region. Selain itu, riwayat transaksi dan pesan pribadi, termasuk beberapa di antara staf, berpotensi diakses.
- Jumlah akun yang dipaksa mengganti kata sandi: 66
- Jenis data yang terekspos:
- Alamat email
- ID Steam
- Alamat IP
- Alamat pengiriman
- Kode pembuka region
- Riwayat transaksi
- Riwayat pesan pribadi
Implikasi Keamanan
Para penyerang berpotensi dapat melakukan pencocokan silang alamat email yang diperoleh dengan daftar kata sandi yang telah disusupi yang tersedia secara publik, menciptakan risiko keamanan tambahan bagi pengguna yang menggunakan kembali kata sandi di berbagai layanan. Kemampuan ini, dikombinasikan dengan akses ke kode pembuka, dapat memungkinkan pelanggaran pembatasan khusus region pada akun.
Langkah-langkah Perbaikan
Grinding Gear Games telah menerapkan beberapa peningkatan keamanan segera. Perusahaan telah memberlakukan pembatasan IP yang lebih ketat dan melarang penghubungan akun pihak ketiga ke akun staf. Mereka juga telah memperbaiki bug log audit yang memungkinkan penyerang menyembunyikan aktivitas mereka. Namun, perlu dicatat bahwa game ini masih belum memiliki autentikasi dua faktor, fitur keamanan yang kini banyak diminta oleh pengguna.
Langkah-langkah keamanan yang diterapkan:
- Peningkatan pembatasan IP
- Penghapusan penghubungan akun pihak ketiga untuk staf
- Perbaikan sistem log audit
- Pemaksaan pengaturan ulang kata sandi pada akun admin
Rekomendasi untuk Pengguna
Para pemain sangat disarankan untuk mengubah kata sandi mereka dan meninjau pengaturan keamanan akun mereka. Mereka yang telah menggunakan kata sandi yang sama di berbagai layanan harus sangat waspada. Sementara pengembang terus memperkuat langkah-langkah keamanan mereka, pengguna sebaiknya mempertimbangkan untuk menerapkan kata sandi yang kuat dan unik untuk akun game mereka dan secara rutin memantau aktivitas akun mereka untuk perilaku mencurigakan apapun.