https://www.pathofexile.com/forum/view-thread/3694333/page/1

Data Breach Notification

Last week we became aware that a PoE account with admin access to the website owned by one of our developers had been compromised. This gave them access to the tools that our customer support agents use.

We immediately locked the account, and forced password resets on all other admin accounts. We then began an investigation into what had occurred.

The PoE account in question was linked to an old steam account that was created by a developer for testing a long time ago, and didn't have any purchases on it. The compromise occurred when the attacker was able to supply enough information to steam support to steal the account.

Since the account was a regular steam account and had no purchases, phone numbers, addresses or other information associated with it, the only information that they were required to supply was the email, account name and be using a VPN from the same country.

The attacker set random passwords on 66 accounts. Unfortunately there was a bug in the event log for this particular support action that allowed the attacker to delete the event showing that the change had occurred. This bug doesn't exist for other support actions and has been fixed now.

The attacker also viewed account information for a significant number of accounts through our portal.

For those accounts they got access to the following private information:
Email Address if the account had one associated
Steam ID if the account had one associated
IP Addresses that the account had used
Shipping address if the account had previously had physical goods sent
Current Unlock Code for unlocking accounts locked due to logging in from a different region

No passwords or password hashes were viewable through the customer service portal.

In addition there are some accounts where the attacker looked at transaction history which would have shown a list of previous purchases.

There are also some accounts where the attacker looked at the private message history on the account. Many of these are for GGG staff.

It is probable that the attacker would be able to compare email addresses found using our portal against publicly available lists of compromised passwords from other websites in order to find accounts that shared the same password with their PoE account. If that was the case, they would have been able to bypass the region locking using the unlock code.

We have taken steps to ensure that there are more security measures around admin accounts so that this can not happen again. No 3rd party accounts are allowed to be linked to any staff accounts and we have added significantly more stringent IP restrictions.

We are incredibly sorry for this lapse in security. The measures taken to secure the admin website really should have already been in place and in the future we will be taking even more steps to make sure that this kind of issue never occurs again.

데이터 침해 알림

지난주에 개발자 중 한 명이 소유한 웹사이트에 대한 관리자 액세스 권한이 있는 PoE 계정이 침해되었다는 사실을 알게 되었습니다. 이를 통해 개발자는 고객 지원 담당자가 사용하는 도구에 액세스할 수 있었습니다.

저희는 즉시 계정을 잠그고 다른 모든 관리자 계정의 비밀번호를 강제로 재설정했습니다. 그런 다음 무슨 일이 일어났는지 조사하기 시작했습니다.

문제의 PoE 계정은 오래 전 개발자가 테스트용으로 만든 오래된 Steam 계정에 연결되어 있었고, 구매 내역이 없었습니다. 공격자가 Steam 지원에 계정을 훔칠 만큼 충분한 정보를 제공할 수 있었을 때 침해가 발생했습니다.

해당 계정은 일반 Steam 계정이었고 구매 내역, 전화번호, 주소 또는 이와 관련된 다른 정보가 없었기 때문에 제공해야 하는 유일한 정보는 이메일, 계정 이름, 같은 국가에서 VPN을 사용하는 것이었습니다.

공격자는 66개 계정에 무작위 비밀번호를 설정했습니다. 안타깝게도 이 특정 지원 작업에 대한 이벤트 로그에 버그가 있어 공격자가 변경이 발생했음을 보여주는 이벤트를 삭제할 수 있었습니다. 이 버그는 다른 지원 작업에는 존재하지 않으며 현재 수정되었습니다.

공격자는 또한 포털을 통해 상당수의 계정에 대한 계정 정보를 보았습니다.

해당 계정의 경우 다음과 같은 개인 정보에 액세스할 수 있었습니다.

  • 계정에 연결된 이메일 주소가 있는 경우
  • 계정에 연결된 Steam ID가 있는 경우
  • 계정에서 사용한 IP 주소
  • 계정에 이전에 물리적 상품을 보낸 적이 있는 경우 배송 주소
  • 다른 지역에서 로그인하여 잠긴 계정을 잠금 해제하기 위한 현재 잠금 해제 코드

고객 서비스 포털을 통해 비밀번호나 비밀번호 해시를 볼 수 없었습니다.
또한 공격자가 이전 구매 목록이 표시되었을 거래 내역을 본 계정도 있습니다.
공격자가 계정의 개인 메시지 내역을 본 계정도 있습니다. 이 중 다수는 GGG 직원을 위한 것입니다.

공격자는 포털을 사용하여 찾은 이메일 주소를 다른 웹사이트의 공개적으로 사용 가능한 손상된 비밀번호 목록과 비교하여 PoE 계정과 동일한 비밀번호를 공유하는 계정을 찾을 수 있을 가능성이 있습니다. 만약 그렇다면, 그들은 잠금 해제 코드를 사용하여 지역 잠금을 우회할 수 있었을 것입니다.

우리는 이런 일이 다시 일어나지 않도록 관리자 계정 주변에 더 많은 보안 조치를 취했습니다. 제3자 계정은 직원 계정에 연결될 수 없으며, 훨씬 더 엄격한 IP 제한을 추가했습니다.

우리는 이런 보안의 허점에 대해 매우 사과드립니다. 관리자 웹사이트를 보호하기 위해 취한 조치는 이미 실행되어야 했고, 앞으로 이런 종류의 문제가 다시는 발생하지 않도록 더 많은 조치를 취할 것입니다.