แจ้งเตือนการละเมิดข้อมูล

เมื่อสัปดาห์ก่อนเราทราบว่ามีผู้ที่บุกรุกเข้าไปในบัญชี PoE ของผู้พัฒนาคนหนึ่งที่มีสิทธิ์การเข้าถึงระดับแอดมิน ซึ่งทำให้ผู้บุกรุกสามารถเข้าถึงเครื่องมือที่ฝ่ายบริการของเราใช้งานได้

เราทำการล็อกบัญชีนั้นโดยทันที และบังคับให้บัญชีแอดมินอื่นๆ ทั้งหมดทำการรีเซ็ตรหัสผ่าน จากนั้นเราเริ่มทำการตรวจสอบข้อเท็จจริงเกี่ยวกับเหตุการณ์ที่เกิดขึ้น

บัญชี PoE ดังกล่าวถูกเชื่อมกับบัญชี Steam เก่าที่ใช้ทดสอบที่ผู้พัฒนาสร้างขึ้นมานานแล้ว และไม่มีการซื้อสินค้าใดๆ ภายในบัญชีนั้น การบุกรุกนี้เกิดขึ้นจากการที่ผู้บุกรุกให้ข้อมูลเพียงพอกับฝ่ายบริการของ Steam จนผู้บุกรุกสามารถขโมยบัญชีนั้นไปได้

ในเมื่อบัญชีดังกล่าวเป็นบัญชี Steam ทั่วไปที่ไม่มีการซื้อใดๆ ไม่มีเบอร์โทรศัพท์ ไม่มีที่อยู่หรือข้อมูลอื่นๆ ที่เกี่ยวข้อง การบุกรุกบัญชีนี้จึงอาศัยเพียงอีเมล ชื่อบัญชี และการใช้ VPN ให้ปรากฏจากประเทศเดียวกันเท่านั้น

ผู้บุกรุกตั้งรหัสแบบสุ่มให้กับ 66 บัญชี นอกจากนี้คำสั่งสำหรับฝ่ายบริการนี้มีบัคซึ่งทำให้ผู้บุกรุกสามารถลบเหตุการณ์การเปลี่ยนแปลงดังกล่าวออกจากบันทึกเหตุการณ์ได้ บัคนี้ได้รับการแก้ไขแล้ว และไม่ปรากฏในคำสั่งสำหรับฝ่ายบริการอื่นๆ ตั้งแต่แรก

นอกจากนี้ผู้บุกรุกได้ดูข้อมูลบัญชีของบัญชีจำนวนหนึ่งผ่าน Portal ของเราอีกด้วย

ผู้บุกรุกได้เข้าถึงข้อมูลส่วนตัวของบัญชีดังกล่าวดังต่อไปนี้:

• อีเมล ที่ผูกเข้ากับบัญชี
• Steam ID ที่ผูกเข้ากับบัญชี
• เลขที่อยู่ไอพี (IP Address) ที่บัญชีนั้นใช้
• ที่อยู่ขนส่ง หากบัญชีนั้นได้รับส่งสินค้าที่เป็นวัตถุมาก่อน
• รหัสปลดล็อกปัจจุบัน สำหรับการปลดล็อกบัญชีที่ถูกล็อกจากการล็อกอินจากภูมิภาคที่ต่างไปจากเดิม

ไม่มีรหัสหรือแฮชรหัสใดที่สามารถดูได้ผ่านทาง Portal สำหรับฝ่ายบริการ

นอกจากนี้ยังมีบัญชีจำนวนหนึ่งที่ผู้บุกรุกดูรายการธุรกรรมที่แสดงรายการสินค้าที่เคยซื้อมาก่อนอีกด้วย

และยังมีบัญชีจำนวนหนึ่งที่ผู้บุกรุกทำการดูประวัติข้อความส่วนตัวภายในบัญชีนั้นๆ ซึ่งส่วนมากเป็นข้อความที่ส่งไปยังทีมงาน GGG

เป็นไปได้ว่าผู้บุกรุกสามารถนำอีเมลที่พบจาก Portal ของเราไปเทียบกับรายการรหัสผ่านรั่วไหลที่พบได้จากเว็บไซต์สาธารณะอื่นๆ เพื่อหาบัญชีที่ใช้รหัสผ่านเดียวกับบัญชี PoE หากเป็นเช่นนั้นจริง พวกเขาจะสามารถเลี่ยงการล็อกตามภูมิภาคได้ด้วยการใช้รหัสปลดล็อก

เพื่อไม่ให้เกิดเหตุการณ์เช่นนี้อีก เราได้ทำตามขั้นตอนต่างๆ เพื่อให้มีมาตรการความปลอดภัยเพิ่มเติมสำหรับบัญชีแอดมิน เราไม่อนุญาตให้บัญชีทีมงานผูกกับบัญชีฝ่ายที่สามอีกต่อไป และเราได้เพิ่มข้อห้ามเกี่ยวกับเลขไอพีที่เข้มงวดยิ่งขึ้นเป็นอย่างยิ่ง

เราขออภัยเป็นอย่างสูงที่เกิดความผิดพลาดทางความปลอดภัยเช่นนี้ เราควรดำเนินการตามมาตรการเพื่อรักษาความปลอดภัยของเว็บไซต์แอดมินมาตั้งแต่แรก และเราจะทำตามขั้นตอนเพิ่มเติมเพื่อกันไม่ให้เกิดปัญหาเช่นนี้อีกต่อไป