Sécurité des comptes de joueurs.

Bonjour,

Je suis confronté à un petit soucis ennuyeux, lorsque je me suis connecté au Gateway aujourd'hui, je me suis rendu compte d'un fait étrange :

Dans la nuit de Vendredi 23 au Samedi 24 janvier, aux alentours de 2h du matin, un individu s'est semble-t-il connecté au jeu avec mon compte, ce qui a provoqué la disparition d'un certain nombre d'items :

- un Enchant Vorpal Premier.

- un Enchant Forgeâme.

- Divers enchants de rang 8.

- Des sacs d'inventaire 20 et 24 slots et leur contenu ( principalement des enchants r3 et r4 et du trésor des dragons, des pierres de sublimation liées lootées la veille, des potions et élixirs divers.. )

- un peu plus d'1 Million de diamants astraux ( et peut-être des zens mais je dois revérifier ce point avant ).

Les diamants astraux on été dérobés via l'achat d'un item a l'hôtel des ventes, en atteste le mail in game de notification :



Sur cette capture d'écran on peut voir que quelqu'un connecté à mon compte a effectué l'achat de 3 ridicules potions pour un montant exorbitant, et que cette transaction est clairement profitable au vendeur de ces potions.

Mon soucis étant que je n'ai pas effectué cette transaction ( pour une fois, je dormais à cette heure là ). Et que je suis absolument certain que cette transaction n'a pas été faite "physiquement" depuis la machine avec laquelle je joue habituellement et avec laquelle je rédige ce topic.

Lorsque je me suis connecté au jeu aujourd'hui, aux alentours de midi ( après avoir patiemment attendu la fin du téléchargement de la mise à jour du serveur preview ), j'ai eu la surprise de devoir accepter a nouveau les CGU du jeu, comme si j'avais réinstallé le jeu, et de retrouver les commandes du jeu par défaut ( zqsd pour le déplacement, f pour interagir etc etc ) alors que je modifie habituellement la grande majorité des ces affectations de touches.

Ce soucis de "commandes par défaut" n'a été constaté qu'avec le personnage principal du compte, pas sur les autres.

J'ai fait un ticket au support ( 150124-000152 ) concernant ce problème d'items disparus, et j'attends une réponse dans des délais humainement acceptables, je sais que le support a énormément de boulot.

Je crée ce topic afin de poser une question technique sur l'accès aux comptes Perfect World.

Il me semblait que pour se connecter au jeu il fallait plusieurs conditions, selon le cas de figure :

*Cas 1 : je me connecte ( via le gateway, le launcher, ou via arc ) depuis une machine non "enregistrée".

-> il me faut donc à priori, pour pouvoir accéder au jeu, en premier lieu, le mot de passe du compte. Une fois le mot de passe rentré, l'interface ( que ce soit celle du jeu ou celle du gateway ) me redirige vers une page me notifiant qu'un code est nécessaire pour continuer, et que ce code a été transmis par e-mail, à l'adresse mail du compte ( outlook pour ma part ). Il me faut donc me connecter à mon compte mail, récupérer le code, le rentrer, pour enfin, accéder à la page de choix du personnage.

*Cas 2 : je me connecte depuis une machine enregistrée.

Là, c'est tout de suite plus simple, seul le mot de passe du compte est requis.

Bon, dans mon cas, le jeu est installé sur 2 machines, toutes les 2 sont "enregistrées", et situées dans des villes différentes. Mais seul 2 personnes connaissent le mot de passe du compte : ma femme et moi.

Je suis absolument certain que ni elle, ni moi, ne nous sommes connectés au jeu à l'heure ou l'achat des 3 potions a été effectué. Et je suis absolument certain que personne n'a physiquement utilisé la machine sur laquelle est installée le jeu qui se trouve à mon domicile ( je dors quasiment avec donc bon.. ).

Il m'apparait donc 2 possibilités dans un premier temps :

*Hypothèse 1 : la connexion au jeu s'est faites via la seconde machine "enregistrée". Je n'étais pas sur place, je ne peut pas certifier que c'est le cas ou non, mais cela me parait hautement improbable, car cela nécessiterait tout de même le mot de passe du compte. Ce mot de passe n'était pas "facilement devinable" ( dans le genre 0000 ou 1234 etc.. ), et non connu des personnes ayant physiquement accès à la seconde machine "enregistrée" la nuit de l'incident.

*Hypothèse 2 : la connexion au jeu s'est faite via une machine non enregistrée. Dans ce cas il aurait théoriquement fallu que le responsable ait eu accès a ma boite mail afin de pouvoir récupérer le code demandé lors de la connexion sur une machine non enregistrée.

Je ne peut pas certifier que cela n'a pas été le cas, mais je n'ai trouvé aucune trace de possible accès à ma boite mail par quelqu'un d'autre que moi, de mail de perfect world notifiant de l'envoi d'un code ou autre. Ca ne veut pas dire que ça n'est pas arrivé, mais cela me parait improbable, le mot de passe de ma boite mail n'étant lui non plus pas "devinable" à moins d'utiliser un procédé de type force brute. ( Et ce mdp là, même ma femme ne le connaissait pas. )

Par sécurité j'ai bien entendu changé l'intégralité de mes mots de passe en les complexifiant de manière a limiter les risques.

*Hypothèse 3 : "l'incident" est du à une action délibérée de Perfect World, pour quelque raison que ce soit, sans aucune notification, bien que cela me paraisse également hautement improbable.

L'objet de ce topic n'est pas de rapporter l'incident, encore une fois, mais plutôt d'essayer de le comprendre.

Ma question, enfin MES questionS, sont donc les suivantes :

- avez vous techniquement les moyens d'identifier la machine à partir de laquelle a eu lieu la connexion au jeu qui a permit l'achat de ces 3 potions et le "vol" présumé des mes items ?

- Si ce n'est pas le cas, avez-vous connaissance de la moindre vulnérabilité dans le système d’authentification qui permettrait à un individu de se connecter à un compte en jeu depuis une machine non "enregistrée" sans avoir besoin d'un "code" ? ( Vu qu'il me semble que vous avez mis à jour récemment le serveur de compte.. )

- avez vous une autre hypothèse a me soumettre pouvant expliquer la perte de mes items, diamants et zens ( pour un total d'environ 6 millions de diamants aux prix du marché actuel ) ?

- gardez vous une trace des échanges de mails in game entre joueurs ? Cela permettrait de savoir à qui ont été transmis mes items, et de comparer avec l'@lias de compte du joueur qui a eu le bonheur de recevoir plus d'1 million de diamants astraux en échange de 3 ridicules potions de soin.

En espérant une réponse de votre part ( le staff ) pouvant m'éclairer,

Cordialement,

Mir Le Gris.