[Kashrag]

Sur http://us.battle.net/d3/en/forum/top...0760671?page=1, Bashiok indique vouloir donner plus d'informations sur les pbs de hacks, probablement dans la journée (US).

[ussperseus]

Un Hack mon Oeil!!!!
J'ai le même soucis avec mon barbare 28, je n'ai pas perdu grand chose, mais il s'avère que mon personnage s'est retrouvé en tout début de jeu, sans autre explication. L'inventaire de mes compagnons d'armes est étrangement intact!
Je penche plutôt sur une instabilité monstrueuse des serveurs de Blizzard, et ces messieurs ont tôt fait de crier Au Loup pour éviter que des clients insatisfaits ne leurs soufflent dans les bronches!!!

[Sargah]

Soit dit en passant, l'HV est actuellement indisponible, et cela depuis 21h. De là à y voir un lien quelconque... Bref, wait and see pour les infos.

[Wilhelm/Grosouris]

Il fonctionne par intermitence, mais la tout al heure je recherche différents bouts d armures et les 3/4 étaient vendu (et se faisaient acheté in live....)

[Dez]

Citation :

Publié par Harest

La principale sécurité qui serait la plus effective, c'est comme ça a été dit plusieurs fois, Steam Guard like, avec un code envoyé par mail dès qu'il y a une connexion à partir d'un autre PC et/ou navigateur.

Sauf que si la personne qui a chopé tes identifiants Steam a également choppé ton mail (ce qui peut être considéré comme probable si on considère le premier point comme OK) ça ne sert plus à grand chose. Ce n'est plus de l'authentification forte, chose garantie avec un token

Sinon, intéressant la réponse de Bashiok, je suis curieux de voir quels vont être les retours de Blizzard, hormis une énième recommandation d'utilisation de l'authenticator.

[Tenji]

Me suis fait aussi hack mais ayant 2 perso d'un level a peu pres équivalent celui qui était le mieux stuff n'a rien perdu l'autre par contre plus de stuff .

[Andromalius]

Citation :

Publié par Harest

La principale sécurité qui serait la plus effective, c'est comme ça a été dit plusieurs fois, Steam Guard like, avec un code envoyé par mail dès qu'il y a une connexion à partir d'un autre PC et/ou navigateur. Avec configuration possible éventuellement pour avoir ça également à chaque nouvelle IP. En option car certains ont une ip (très) dynamique.

Si tu as mis le même mdp a ton email que sur ton compte battle.net c'est mort. Je subodore que c'est le cas de pas mal de monde qui colle le même mdp partout.
A ce stade a part obliger les utilisateurs à avoir un authenticateur je vois pas. L'authenticateur physique gratruit ca viendra surement un jour, ca coutait la peau des fesses il y a 10 ans ce genre de trucs aujourd'hui ca vaut plus grand chose, mais à multiplier par le nombre de comptes battle.net....(les actuels et anciens joueurs de WoW, les joueurs de SCII et de Diablo III, ca fait des dizaines de millions d'authenticateurs...)

[LexQc]

En un peu plus de quinze années d'utilisation d'Internet et de jeux en ligne, c'est pour la première fois, cette semaine, que j'ai été piraté sur un jeu en ligne. Je n'ai jamais joué à un jeu de Blizzard auparavant et je n'utilise aucun navigateur Internet sur l'ordinateur auquel sont installés les jeux en ligne. Mon système d'opération est mis à jour, les anti-virus sont mis à jour et une vérification est fait à chaque fois que j'allume et avant d'éteindre la machine.

Avant la mis à jour du 23 mai 2012 à 3h00 du matin (heure de Paris) je n'avais eu aucun problème. Je me reconnecte vers les 17h00 et je vois mon personnage principal sans armures et je me dis que ce n'est pas possible c'est probablement un bogue graphique. Alors, je me connecte au jeu et je vois que ce n'était pas vraiment un bogue graphique et que tout à disparu. Objets, coffre et or (qui sont lié au compte et non au personnage) disparus de mon inventaire. Dès lors, je vais voir mon personnage secondaire et il n'a subit aucun dégât. Cependant, j'ai pu m'apercevoir qu'il y a deux nouveaux joueurs dans la liste des contacts. Un qui apparaît dans contacts récents et l'autre dans ami. Pour avoir un nouvel ami il faut demander ou qu'il demande à être ami et ensuite d'accepter. Chose que je n'ai jamais fait. Comment pourrait-il s'auto-accepter en tant qu'ami ?

C'est une histoire très louche qui touche plusieurs centaines, voire des milliers de joueurs. Les joueurs concernés, même les non-concernés espèrent que l'équipe Blizzard admette que le problème vient de chez eux et non de chez nous, joueur (pas tous), faisant attention à ce qu'il fait sur Internet et protège son ordinateur de manière très forte pour empêcher ce genre de chose.

Réponse #1

Citation :

Salutations,

Vous avez pris contact avec nous concernant une intrusion sur votre compte Diablo III.

Rassurez-vous, nous allons faire le maximum afin de vous aider.

Avant toute chose, il est important pour vous de sécuriser votre ordinateur au plus vite en suivant les conseils donnés à cette adresse afin d’éviter un autre piratage :
<http://eu.battle.net/security/>

Ne pas suivre ces consignes de sécurité permettra aux pirates d’accéder de nouveau à votre mot de passe et à votre compte.

Notez que notre politique de remboursement ainsi que les moyens techniques disponibles au niveau des comptes compromis Diablo III diffèrent de ceux de World of Warcraft.

En effet, chaque compte ne peut bénéficier au total que de 2 (deux) interventions de la part de l’assistance clientèle.

La restauration se fait à partir de points de sauvegarde qui ne sont pas liés à vos connexions ni à votre progression, il peut donc y avoir un effet de retour en arrière lorsque nous procédons se traduisant par une perte de niveau et d’objets surtout si vous avez joué après le piratage.

Je vous invite donc à lire notre sujet dédié ici afin de bien comprendre les options qui s’offrent à vous :
<http://eu.battle.net/support/fr/article/compte-diablo-iii-compromis>

Si vous désirez que nous procédions à un retour à votre dernier point de restauration valide, je vous invite à nous recontacter en nous donnant votre accord ainsi que le maximum d’informations sur la dernière fois que vous vous êtes connecté.

Nous prendrons alors les dispositions nécessaires, votre compte sera rétabli en l’état et votre compteur de restauration sera augmenté de un.

Vous avez bien fait de nous contacter afin de rétablir la situation. Nous restons bien entendu à votre disposition si vous avez le moindre souci. =)

Cordialement,
Votre ami *

Réponse #2

Citation :

Salutations,

Je comprends que le nombre de signalement de compte piraté depuis la sortie de Diablo 3 et les posts qu'ils ont suscités sur les forums puisse vous étonner.

Toutefois, je vous assure que le soucis ne vient pas de nos serveurs, mais bien d'un manque de sécurisation des comptes par les joueurs car ce sont bien les identifiants de connexion qui sont piratés, et non pas nos serveurs.

Ceci peut s'expliquer entre autre par les raisons suivantes :

- Un grand nombre de joueurs, impatients de jouer à Diablo 3 n'ont pas forcément pris le temps de sécuriser totalement leur ordinateur et leur compte battle.net avant de commencer à jouer.

- Un joueur qui se serait fait pirater son compte World of Warcraft et qui n'aurait pas effectué les démarches pour nous le signaler et resécuriser son compte, se trouverait avec un compte dont les identifiants de connexion pourraient être déjà connu des pirates.

- Les piratages ayant pour but, dans Diablo 3, comme dans World of Warcraft, la vente d'or contre de l'argent réel, il est certain que les pirates ont cherché avant tout à s'attaquer à des joueurs dont ils connaissaient les identifiants de compte, ce qui explique qu'ils aient pu lancé des attaques massive dès la sortie du jeu pour piller de nombreux comptes.

Afin d'éviter un nouveau piratage, nous vous recommandons de suivre la liste de contrôles de sécurité que vous trouverez sur notre page de sécurité des comptes avant de procéder au changement du mot de passe :

<<http://eu.battle.net/security/>>

Les moyens de récupération d’un mot de passe sont très nombreux, simples et rapides, surtout si vous l’utilisez sur d’autres sites que votre compte Battle.net (messagerie, Facebook, forums de guilde…), ou bien qu’un des ordinateurs que vous utilisez pour vous connecter en jeu est contaminé par un Keylogger/Trojan, des logiciels pirates pouvant récupérer les informations que vous tapez (mot de passe, code de cartes bancaires…)

Vous trouverez une liste complète de logiciel Antivirus, Anti Rootkit, Pare-feu et Anti-espions gratuits que vous pourrez utiliser pour sécuriser votre ordinateur en vous rendant sur la page suivante : <<http://eu.battle.net/support/fr/article/antivirus-anti-rootkit-pare-feu-et-anti-espions>>

Pour information, un mot de passe sûr contient plus de dix caractères différents, un mélange de majuscules, de minuscules, de chiffres et de caractères spéciaux. De plus, un mot de passe est d’autant plus robuste lorsqu’il est changé régulièrement, par exemple tous les six mois.

J'ajoute que ce sujet a aussi fait l'objet d'un post officiel sur les forums, que vous trouverez à l'adresse suivante :

http://eu.battle.net/d3/fr/forum/topic/4211011850

En espérant avoir répondus à toutes vos questions,

Merci de votre patience.

Cordialement,
*, Maître de Jeu.

Réponse #3

Citation :

Bonjour,

Je vous remercie de nous avoir contactés concernant le piratage de votre compte Diablo III.

Afin de retrouver votre compte, nous vous suggérons de suivre ces indications pour sécuriser votre compte, votre adresse email et votre ordinateur. Lorsque ces précautions seront prises, il vous faudra nous contacter de la manière suivante :

------------------------
ETAPE 1: SECURISER LE COMPTE, L’ADRESSE EMAIL ET L’ORDINATEUR
------------------------

Un compte peut être compromis pour différentes raisons. Pour l’éviter, nous vous recommandons de suivre les conseils de cette Liste de Contrôle de Sécurité afin de vous protéger : <http://eu.battle.net/en/security/checklist>

En raison de la nature du vol de votre compte, nous vous invitons à nous contacter par téléphone si vous n’êtes pas certains de la sécurité de l’adresse email enregistrée sur votre compte. Nous pourrons alors vous aider à prendre les mesures nécessaires pour sécuriser votre compte et votre adresse email.

------------------------
ETAPE 2: RECUPERER VOTRE COMPTE
------------------------

Lorsque vous aurez mis en œuvre la Liste de Contrôle proposé dans l’étape 1, ouvrez requête en vous rendant sur <https://eu.battle.net/support/en/ticket/submit> et confirmez :
- Que votre ordinateur est sécurisé
- Que votre email est sécurisé
Vous pouvez également nous contacter par téléphone pour commencer le processus de récupération. Vous trouverez les informations pour nous contacter ici : <http://eu.battle.net/support/article/contact>

------------------------
ETAPE 3: RESTAURATION DU COMPTE
------------------------

Une fois votre compte récupéré vérifiez les pertes survenues sur vos héros.

Notez que pour Diablo III, notre intervention pour ce type de cas est un retour en arrière. Cela remettra les personages à leur état d'avant l'incident mais la progression réalisée entre temps sera perdue, ainsi que les hauts-faits, objets ou or.

En plus de cela, vous aurez l'obligation de rajouter un authenticator pour accéder à l'hôtel des ventes.

Si vous êtes d'accords avec ces conditions, veuillez alors nous faire parvenir une requête en nous précisant la date et l'heure de votre dernière connexion avec votre inventaire intacte. En inscrivant, "Je suis d'accords une restauration de mon compte à la date du XX/XX/XX et à l'heure XXhXX."

En attendant, j'ai réinitialisé votre mot de passe.

En vous remerciant pour votre compréhension.

Cordialement,
*.
aka *

On peut tous remercier ironiquement Blizzard qui tente de se cacher derrière tout ça. Mais bien sûr, c'est nous, les joueurs qui sont en blâme et qui n'est pas assez protégé. Rires. Il y a des ingénieurs informatique et expert en sécurité réseau qui jouent à Diablo III et qui ont été piratés aussi. J'ai oublié aussi de préciser que certains joueurs ont effectivement un authenticator.

Pourquoi sommes-nous obligés d'acheter un authenticator pour un problème qui ne vient forcément pas de nous.

Voici quelques sujets similaires :

Français
- Le "Parti des Comptes Piratés"
- [Descriptif Détaillé] Disparition d'Objets
- Problème ou hack? (suite)

Anglais
- All My Items Gone
- Hacked? Don't blame the user

Adieu objets légendaire :

- L’Exécutrice
- Couronne de Léoric
- Ceinturon des géants
- Courroux du roi d’os
- Braconnières pouilleuses

(bas niveau certes, mais quand même !)

Bien à vous,

[Eno]

Citation :

Publié par Andromalius

(les actuels et anciens joueurs de WoW, les joueurs de SCII et de Diablo III, ca fait des dizaines de millions d'authenticateurs...)

Plûtot des centaines de millions

[JokeJok]

J'ai mis depuis 3j maintenant le Systeme de protection anthenticator. Mais j'ai du toujours très peur de regarder l'hotel des ventes. C'est con mais depuis cette histoire on devient un peu parano.

[Yuyu]

Citation :

Publié par Sin

J'ai mis depuis 3j maintenant le Systeme de protection anthenticator. Mais j'ai du toujours très peur de regarder l'hotel des ventes. C'est con mais depuis cette histoire on devient un peu parano.

Faut jouer comme si de rien était, sinon tu t'en sors pas.

De tout façon, Blizzard n'est pas un gage de sécurité avec Bnet. Rien que le concept de mettre une adresse email en login est d'une débilité sans nom et n'est pas professionnel du tout.

[Njuk]

vu l'étendu des hacks, je vois 2 possibilités :

- des hackers ont réussi à récup' la db des login/pw chez Blizzard et récupèrent les password en bruteforce
- il existe une faille sur un logiciel que ttlm utilise ( un browser, flash, client mail etc ). Une faille qui n'est connue que des hackers et qui n'est donc pas encore patchée, et qui permet de récupérer à distance le login/pw ( coté client , donc en clair )

Je ne pense pas que l'hypothèse "vous avez trainé/downloadé sur un site louche et vous avez chopper un keylogger" s'applique ici, j'ai encore vu personne dire "ah ouais j'ai fait un scan et ca m'a trouvé un truc".
Et puis bon vu le nombre de hacks, t'as plus l'impression que ce qui en limite le nombre, c'est plus le temps nécessaire aux hackeurs de vider un compte que le nombre de comptes qu'ils ont réussi effectivement à hacker. Bref c'est pas prêt de s'arreter.
Je ne nie pas que sur le parc de PC installés, si on faisait un scan vraiment exhaustif y'en aurait même pas 20 % qui seraient vraiment clean, mais bon de là à croire que tout le monde se traine un keylogger qui vise précisément D3, j'y crois pas du tout.

[Ohrido-Survival-Attitude]

Bon, j'ai finalement craqué, j'ai lié mon compte à un authenticator

[Mocassin]

Belle surprise ce matin , je me connecte et bam je suis déco avec un message qui indique que quelqu'un se connecte sur mon compte depuis un autre poste ... reflex je change le mdp battlenet et du mail associé .

Trop tard , plus de gold et le coffre vidé , la sécurité de mon pc est correcte , j'ai changé de mdp battlenet à l'installation de Diablo et celle de mon mail , je n'ai rien DL de suspect ou cliqué sur un lien de ma boite mail .

Voila je me sent violé .

[Harest]

Citation :

Publié par Andromalius

Si tu as mis le même mdp a ton email que sur ton compte battle.net c'est mort. Je subodore que c'est le cas de pas mal de monde qui colle le même mdp partout.

Citation :

Publié par Dez

Sauf que si la personne qui a chopé tes identifiants Steam a également choppé ton mail (ce qui peut être considéré comme probable si on considère le premier point comme OK) ça ne sert plus à grand chose. Ce n'est plus de l'authentification forte, chose garantie avec un token

Non mais tout de suite vous me sortez les extrêmes. Pour ceux-là y'a plus rien à faire, mais je parle d'une sécurité classique qui fonctionne bien.

[Cefyl]

@Mocassin

authenticator ou pas ?

Purée, c'est dingue que l'on puisse reconnecter un ordi avec une IP étrangère alors qu'il y a 2 secondes on était soi même connecté.

[Tête de Cornet]

Citation :

Publié par Harest

Non mais tout de suite vous me sortez les extrêmes. Pour ceux-là y'a plus rien à faire, mais je parle d'une sécurité classique qui fonctionne bien.

C'est pas du tout un cas extrême, même en ayant pas mis le même mot de passe, si comme dans 99% des cas, le "hacker" a choppé ton mot de passe steam avec un keylogger, y a aucune raison qu'il ai pas aussi choppé ton mot de passe de ta boite mail.

[Syagre]

Je me rajoute à la longue liste des heureux possesseurs d'un compte Hacké et vidé intégralement .

Alors autant vous le dire, l'alerte SMS ne sert à rien puisque je l'avais activé et paramétré mais pas reçu de SMS d'une IP suspecte se connectant sur mon compte et comme aucune modification n'a été faite sur celui ci, ben utilité Zero.

Comme tout le monde, rien d’évident qui expliquerait comment j'ai pu me faire hacker.

Bref, me sent un peu blasé du coup.

[Demonrule]

Salut à tous. Merci aux victimes pour leur témoignage.
Mais merci également de préciser si vous utilisiez un authenticator ou pas avant votre hack, ce qui permet d'alimenter la magnifique base de données (actualisée chaque jour !!!) sur les joliens hackés et que vous pouvez retrouver ici :

https://forums.jeuxonline.info/showthread.php?t=1180323

Nous en sommes à 24 hackés avoués depuis l'ouverture de ce présent thread.

[Harest]

Citation :

Publié par Tête de Cornet

C'est pas du tout un cas extrême, même en ayant pas mis le même mot de passe, si comme dans 99% des cas, le "hacker" a choppé ton mot de passe steam avec un keylogger, y a aucune raison qu'il ai pas aussi choppé ton mot de passe de ta boite mail.

Franchement les keyloggers ça doit plus si bien marcher, les mots de passe les gens les enregistrent souvent. Du coup ce que tu dis j'suis pas sûr que ça marche si bien. Par contre les passwords stealers là ouep. M'enfin c'est surtout pour le principe de la limitation par rapport aux IPs / FAI, et à un/plusieurs ordinateurs.

Qu'ils commencent déjà à bloquer les tentatives de brute-forcing se sera un bon début.

[Geglash]

Citation :

Publié par Demonrule

Nous en sommes à 24 hackés avoués depuis l'ouverture de ce présent thread.

Dit comme ça ça fait un peu chasse aux sorcières .

[Mocassin]

Citation :

Publié par Cefyl

@Mocassin

authenticator ou pas ?

Non pas d'authentificator , je recherche des infos et les témoignages de gens sur le net depuis 1 bonne heure , des gens munis d'authentificator ont été eux même victime de hack , d'autres avec une sécurité irréprochable et un pc réservé au jeu ...

Vu le nombre impressionnant de hack , ajouté à cela que personne n'a trouvé la soi disant faille du côtés clients .... j'ai de gros doutes sur la mise en cause des joueurs .

[Tête de Cornet]

Citation :

Publié par Harest

Franchement les keyloggers ça doit plus si bien marcher, les mots de passe les gens les enregistrent souvent. Du coup ce que tu dis j'suis pas sûr que ça marche si bien. Par contre les passwords stealers là ouep. M'enfin c'est surtout pour le principe de la limitation par rapport aux IPs / FAI, et à un/plusieurs ordinateurs.

Qu'ils commencent déjà à bloquer les tentatives de brute-forcing se sera un bon début.

Mais y en a pas de bruteforce

cf la réponse de nysza

Citation :

Publié par Nysza

Les autres lololbruteforce, je l'ai déjà dit, on est plus en 1970, personne n'hack quoi que ce soit en bruteforce, c'est ridicule. Je suis sûr que même s'il n'y a pas de limitations en terme d'essais, il y a une limitation côté serveur, ne serais-ce que pour éviter qu'un mec mette les serveurs d'auth à genoux en spammant des essais. (et de toute y a un beau délai entre l'entrée de ton mot de passe et la réponse disant qu'il est invalide. Même sans case-sensitive, en mettant juste des lettres et chiffres (35 caractères), si tu part du principe qu'un compte a 8 caractères (sans même ajouter les possibilités de 1 à 7), tu as 35^8 possibilités, tu as plus de 2000 milliards de possibilités. Les serveurs binette ont 200 ms de ping, allez. 5 par secondes. Disons que tu trouve à la moitié de la recherche en moyenne. Tu es à 2.5 MILLIONS de jours. Par compte. Maintenant, lachez nous la grappe avec votre bruteforce, merci.

[Harest]

@Mocassin : Avant j'avais aussi des doutes, mais ceux qui déclarent avoir un authenticator sont à priori des menteurs jusqu'à preuve du contraire :/. En tout cas sur JoL, pas un seul en avait un avant les faits à priori.

@Dessus : Ahah, la blague (au passage y'a 26 lettres et 10 chiffres, pas 9). Mais sinon avec ou sans, une limitation du nombre d'essais dans le temps c'est un minimum.

[eclat]

Citation :

Qu'ils commencent déjà à bloquer les tentatives de brute-forcing se sera un bon début.

Oui avec envoie d un code de connexion sur ton portable ou autre... Ou un temps minimum pour rentrer un Pass après 5/10 essais (style comme certains forum, ou modele du code de verrouillage de l iPhone)

Édit: autogrilled