Le credential stuffing cible de plus en plus les jeux vidéo

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Le secteur du jeu vidéo est en plein essor. Et pas qu’un peu : il connaît une croissance phénoménale.

Contrainte de rester chez elle, une clientèle vaste et très diversifiée a fait progresser le marché du jeu vidéo « de 37 % sur un an aux États-Unis, pour atteindre 3,3 milliards de dollars, selon le cabinet d’études de marché NPD Group ». (Source : Quartz)

Cela alimente un modèle économique de plus en plus populaire — et rentable — appelé « free-to-play ». Le jeu est gratuit et permet d’acheter des actifs numériques en jeu par le biais de microtransactions. Candy Crush, si vous vous en souvenez, a été l’un des premiers à concrétiser ce modèle. Selon Gamestop, « la série de jeux mobiles Candy Crush a généré au total plus de 1,5 milliard de dollars de revenus issus des microtransactions en 2018 sur iOS et Android. Cela représente la somme vertigineuse de 4,2 millions de dollars américains dépensés par jour en moyenne ».

J’admets contribuer à cette hausse, car aujourd’hui, toute notre famille consacre son budget « divertissement » à des éléments intégrés aux jeux. Pas nécessairement à des jeux, mais simplement à des éléments intégrés aux jeux. Prenez cette capture d’écran : elle montre environ 22 $ d’éléments numériques intégrés au jeu qui n’ont aucune incidence sur le jeu lui-même. Ils ne peuvent être utilisés nulle part ailleurs. La plupart des joueurs possèdent des dizaines, voire des centaines de tenues, d’emotes et d’autres éléments cosmétiques numériques. La facture grimpe vite.

Ce modèle est de plus en plus rentable. En 2019, Fortnite, le célèbre jeu de battle royale d’Epic Games, « a généré 1,8 milliard de dollars de revenus, selon les données publiées par SuperData Research, une société de Nielsen ». (Source : Investopedia) Son modèle économique repose entièrement sur les microtransactions.

Les microtransactions, bien sûr, s’appuient sur des cartes bancaires et des services de paiement comme PayPal. Ce sont ces informations que les pirates cherchent réellement à obtenir en accédant aux comptes de jeu.

Ce qui rend les données récentes analysées par Atlas VPN à la fois logiques et terrifiantes. Après tout, l’expression « suivez l’argent » s’applique tout autant à la compréhension des motivations des pirates qu’à celles des responsables politiques. L’entreprise a constaté que « les pirates ont attaqué les joueurs pas moins de 9,83 milliards de fois entre juillet 2018 et juin 2020. Autrement dit, les joueurs subissent environ 14 millions d’attaques par jour, soit 584 000 attaques par heure. » (Source : Information Security Buzz)

Les joueurs ne sont pas inconscients des conséquences potentielles. Une enquête menée durant l’été 2020 sur leurs préoccupations a révélé qu’en cas de piratage de leur compte, ils craignaient avant tout que les informations de leur carte bancaire soient compromises (49,1 %). (Source : Atlas VPN Blog) Il convient de noter que « l’accès à leur compte » et la « perte de ressources dans le jeu » arrivaient juste derrière. Avec l’essor de l’e-sport et de la diffusion de parties en streaming comme sources de revenus, ces préoccupations ne sont pas aussi superficielles qu’on pourrait le penser.

Ces comptes ont de la valeur aux yeux des pirates. Il n’est donc pas surprenant qu’ils fassent l’objet d’attaques d’une telle ampleur. Comme dans d’autres secteurs, ces comptes sont accessibles depuis plusieurs plateformes (site web, console, téléphones mobiles), ce qui en fait des cibles lucratives offrant de multiples vecteurs d’attaque aux pirates suffisamment expérimentés pour s’y intéresser.

Et si le compte ne contient aucune donnée financière, ils peuvent toujours le revendre sur le marché illicite des comptes de jeux vidéo.

Oui. Ça existe bel et bien. C’est contraire aux règles et aux conditions d’utilisation de toutes les sociétés de jeux vidéo, mais cela arrive. Fréquemment.

Le bourrage d’identifiants constitue une menace réelle pour tous les secteurs présents en ligne, y compris celui des jeux vidéo. Alors que nous nous dirigeons de plus en plus non seulement vers une économie numérique, mais vers une économie où le numérique est prioritaire, cette menace doit être prise en compte.

C’est pourquoi il est important de continuer à améliorer les technologies utilisées pour détecter et déjouer la fraude et les abus. Tous les secteurs ont intérêt à mettre en place la meilleure protection possible contre les attaques par bourrage d’identifiants.

À propos de l’auteur

Lori Mac VittieIngénieur émérite et évangéliste en chef | F5

Lori MacVittie est ingénieure émérite et évangéliste en chef au sein du bureau du directeur technique de F5. Elle possède une expertise approfondie dans la fourniture d’applications, les stratégies d’automatisation et les infrastructures. Elle est réputée pour sa capacité à rendre la complexité intelligible, qu’elle définisse des garde-fous pour les agents d’IA, analyse des architectures multicloud fragiles ou explore les limites des systèmes évolutifs. Elle cumule plus de trente ans d’expérience dans le secteur, couvrant le développement d’applications, l’architecture informatique ainsi que l’exploitation des réseaux et des systèmes. Avant de rejoindre F5, elle a été rédactrice spécialisée dans les technologies et a reçu plusieurs distinctions. MacVittie est titulaire d’un master en informatique et est une autrice prolifique dont les publications couvrent la sécurité, le cloud et l’architecture d’entreprise. Elle est également une passionnée de jeux de société et de jeux vidéo, et assume pleinement ses avis bien tranchés sur le fromage.

Autres articles de Lori Mac Vittie