Votre compte Minecraft est un compte Microsoft. L'adresse e-mail et le mot de passe qui ouvrent le jeu peuvent aussi ouvrir votre boîte mail, vos fichiers enregistrés et tout ce qui est lié à cet identifiant. Les comptes Minecraft volés sont revendus en gros, alors les pirates ciblent les joueurs de tous âges avec des arnaques autour des serveurs, des grades et des communautés Discord. La plupart de ces attaques sont faciles à repérer une fois qu'on sait à quoi elles ressemblent.
Sachez ce qu'un serveur peut vous demander, et ce qu'il ne peut pas
Un serveur Minecraft n'a jamais besoin de votre adresse e-mail ni de votre mot de passe Microsoft. Quand vous rejoignez un serveur premium, le jeu prouve votre identité auprès du service de session de Mojang, et le serveur ne reçoit qu'une réponse oui ou non. Votre mot de passe reste entre vous et Microsoft.
D'où une règle simple. Quiconque vous demande vos identifiants Microsoft, y compris quelqu'un qui prétend faire partie du staff d'un serveur, être modérateur, employé de Mojang ou ami, essaie de prendre votre compte. Le vrai staff n'en a pas besoin pour vous donner un grade, lever un ban, restaurer des objets ou vérifier que vous possédez le jeu.
Il en va de même pour les codes de vérification. Si quelqu'un vous demande de lui lire un code que Microsoft vient d'envoyer sur votre e-mail ou votre téléphone, c'est généralement qu'il est en train de réinitialiser votre mot de passe ou de se connecter à votre place. Ne partagez jamais ces codes.
Faux liens de grades gratuits et de giveaways
Le piège le plus courant promet quelque chose de précieux gratuitement : le meilleur grade sur un serveur populaire, de la monnaie en jeu, une cape ou un code cadeau. On vous envoie un lien pour le récupérer, et la page vous demande de « vous connecter avec Microsoft » ou de « vérifier votre compte Minecraft ».
Signes qu'un lien mène à une page de phishing :
- La page demande votre e-mail et votre mot de passe Microsoft pour récupérer une récompense sur un serveur de jeu. Les serveurs livrent les grades en jeu ou via leur propre boutique, pas via votre compte Microsoft.
- L'adresse dans votre navigateur n'est pas le vrai domaine de connexion de Microsoft, même si la page y ressemble trait pour trait. Les copies sont faciles à faire, et certaines affichent même une fausse fenêtre de navigateur à l'intérieur de la page.
- Il y a un délai très court, comme « plus que 10 minutes » ou « réservé aux 50 premiers joueurs ».
- L'offre vient d'un inconnu, ou d'un ami qui envoie soudain des liens qu'il n'enverrait jamais d'habitude. Son compte est peut-être déjà compromis.
Si vous voulez vérifier une offre d'un serveur, ouvrez vous-même le site officiel du serveur ou son canal d'annonces au lieu d'utiliser le lien reçu.
Mods, clients et launchers de sources non officielles
Un mod ou un client s'exécute sur votre ordinateur avec les mêmes accès que n'importe quel autre programme. Les versions malveillantes peuvent lire le jeton de session de votre launcher, ce qui permet à quelqu'un d'utiliser votre compte sans connaître votre mot de passe, ou voler les mots de passe enregistrés dans le navigateur et vos identifiants Discord.
- Ne téléchargez des mods que sur des sites d'hébergement de mods reconnus ou sur la page officielle de l'auteur. Évitez les réuploads sur des sites de partage de fichiers et dans les descriptions de vidéos.
- Méfiez-vous des versions « crackées » de clients payants, des mods de cosmétiques « gratuits » et de tout ce qui promet des cheats pour un serveur. C'est une voie classique de diffusion des voleurs de comptes.
- Si un serveur exige son propre launcher ou client, assurez-vous que le téléchargement provient du site officiel du serveur et que les autres joueurs l'utilisent aussi.
- N'exécutez pas les fichiers qu'un inconnu vous envoie sur Discord, qu'il parle d'un mod, d'un pack de textures, d'un « téléchargement de map » ou d'un jeu qu'il veut vous faire tester.
Les packs de ressources et les packs de données sont généralement sûrs, car ils contiennent des textures et des données de jeu, pas de code exécutable. Le risque concerne tout ce que vous devez lancer comme un programme, comme les fichiers .exe ou .jar, et les archives qui en contiennent.
Les arnaques Discord autour des serveurs Minecraft
La plupart des communautés Minecraft vivent sur Discord, donc beaucoup d'arnaques y commencent. Les schémas typiques :
- Fausses candidatures au staff ou fausse « vérification ». Un bot ou un utilisateur vous demande de vous vérifier en vous connectant à Microsoft ou en scannant un QR code. Scanner un QR code de connexion avec votre téléphone peut connecter l'arnaqueur à votre place.
- « Je t'ai signalé par erreur ». Quelqu'un prétend que votre compte a été signalé par erreur et vous envoie vers un « agent du support » qui vous demande vos identifiants.
- Teste mon jeu ou mon mod. Un inconnu sympathique, ou le compte piraté d'un ami, vous demande d'essayer un fichier. Il contient un malware.
- Échanges avec intermédiaire. Lors de l'achat d'objets ou de comptes, un faux intermédiaire empoche le paiement ou les informations et disparaît.
Limitez vos messages privés à vos amis si vous rejoignez de gros serveurs, et confirmez les demandes inhabituelles de vos amis par un autre canal avant d'y donner suite.
Activez la vérification en deux étapes
La vérification en deux étapes sur votre compte Microsoft est la protection la plus efficace que vous puissiez ajouter. Une fois activée, un mot de passe volé ne suffit plus pour se connecter, car Microsoft demande aussi un code provenant d'une application d'authentification, d'un SMS ou d'un e-mail envoyé à une autre adresse.
- Connectez-vous à votre compte Microsoft sur la page de compte officielle de Microsoft.
- Ouvrez la section sécurité et choisissez les options de sécurité avancées.
- Activez la vérification en deux étapes et suivez les étapes pour ajouter une application d'authentification ou un numéro de téléphone.
- Conservez le code de récupération que Microsoft vous affiche dans un endroit sûr, hors ligne.
Tant que vous y êtes, vérifiez que l'e-mail et le numéro de téléphone de récupération sont à jour et vous appartiennent. C'est grâce à eux que Microsoft pourra vous aider à récupérer l'accès plus tard.
Utilisez un mot de passe unique sur les serveurs crack
Les serveurs non premium vous demandent d'enregistrer avec /register un mot de passe que le serveur stocke lui-même. Impossible de savoir s'il est bien protégé, et les petits serveurs sont régulièrement piratés, revendus ou fermés. Les listes de mots de passe fuités depuis des serveurs de jeu sont ensuite testées sur les comptes Microsoft et les fournisseurs d'e-mail.
- N'utilisez jamais votre mot de passe Microsoft, ni celui de votre e-mail, sur un serveur.
- Utilisez un mot de passe différent pour chaque serveur, pour qu'une fuite sur l'un ne déverrouille pas les autres.
- Un gestionnaire de mots de passe rend la chose facile, mais même une liste écrite gardée chez vous vaut mieux que le même mot de passe partout.
Le filtre des serveurs premium sur la page d'accueil affiche les serveurs où aucun mot de passe supplémentaire n'est nécessaire. Chaque fiche affiche aussi un badge premium ou non premium, pour que vous sachiez à l'avance quel type de serveur vous rejoignez.
Vérifiez un serveur avant de le rejoindre
La plupart des serveurs sont gérés par des gens qui veulent simplement des joueurs. Quelques minutes de vérification vous aident tout de même à éviter les autres. Lisez les avis des joueurs sur la fiche du serveur et regardez son nombre de joueurs en direct et ses votes. Méfiez-vous des serveurs qui vous obligent à installer un launcher personnalisé sans raison claire, ou dont le staff insiste pour passer en messages privés. Si vous avez des questions sur le fonctionnement de la liste elle-même, la FAQ couvre les bases.
Si votre compte est volé
Agissez vite. Plus tôt vous commencez, plus vous avez de chances de le récupérer avant que le voleur ne change toutes les informations de récupération.
- Essayez de vous connecter à votre compte Microsoft. Si le mot de passe fonctionne encore, changez-le immédiatement, déconnectez toutes les autres sessions depuis la page de sécurité et activez la vérification en deux étapes.
- Si vous ne pouvez pas vous connecter, utilisez le formulaire de récupération de compte de Microsoft depuis la page de connexion officielle. Remplissez-le depuis un appareil et un réseau que vous avez déjà utilisés, et donnez autant de détails que possible : anciens mots de passe, date d'achat de Minecraft, objets d'e-mails envoyés depuis le compte.
- Changez le mot de passe de l'adresse e-mail liée au compte, ainsi que de tout autre compte où vous utilisiez le même mot de passe.
- Analysez votre ordinateur à la recherche de malwares, surtout si vous avez récemment lancé un mod, un client ou un fichier provenant d'une source non officielle. Sans ça, le voleur risque de reprendre le compte.
- Prévenez le staff des serveurs où vous avez des grades ou des objets, et avertissez vos amis sur Discord au cas où le pirate leur écrirait depuis votre profil.
Si le formulaire de récupération est refusé, vous pouvez le soumettre à nouveau avec plus de détails. Méfiez-vous des personnes qui proposent de récupérer votre compte contre paiement. C'est une autre arnaque courante.
Check-list rapide
- Personne de légitime n'a besoin de votre mot de passe Microsoft ni de vos codes de vérification.
- La vérification en deux étapes est activée, et les informations de récupération sont à jour.
- Chaque mot de passe de serveur est unique et différent de vos mots de passe Microsoft et e-mail.
- Les mods et les clients viennent uniquement de sources officielles.
- Les liens qui promettent des grades ou des objets gratuits sont ignorés.