Konto Minecraft to dziś po prostu konto Microsoft. Ten sam e-mail i hasło, którymi uruchamiasz grę, otwierają też pocztę, pliki w chmurze i wszystko inne podpięte pod ten login. Przejęte konta Minecraft sprzedaje się hurtowo, więc oszuści polują na graczy w każdym wieku: na serwerach, w prywatnych wiadomościach i na Discordzie. Większość tych sztuczek łatwo rozpoznać, jeśli wiesz, jak wyglądają.
Czego serwer nigdy od ciebie nie potrzebuje
Żaden serwer Minecraft nie potrzebuje twojego e-maila ani hasła do konta Microsoft. Przy wejściu na serwer premium gra sama potwierdza twoją tożsamość w usłudze sesji Mojang, a serwer dostaje tylko odpowiedź „tak” albo „nie”. Hasło zostaje między tobą a Microsoftem.
Z tego wynika prosta zasada: każdy, kto prosi o dane logowania do konta Microsoft, chce je ukraść. Nieważne, czy przedstawia się jako admin, moderator, pracownik Mojang czy kolega z gildii. Prawdziwa administracja nie potrzebuje twojego hasła, żeby nadać rangę, zdjąć bana, oddać itemy czy sprawdzić, czy masz oryginalną grę.
To samo dotyczy kodów weryfikacyjnych. Jeśli ktoś prosi, żebyś podał mu kod, który właśnie przyszedł od Microsoftu SMS-em albo mailem, to najpewniej jest w trakcie resetowania twojego hasła. Nigdy nie przekazuj tych kodów.
Darmowe rangi, VIP-y i „rozdania”
Najpopularniejsza pułapka obiecuje coś za darmo: rangę SVIP na znanym serwerze, walutę w grze, pelerynę albo kod do gry. Dostajesz link, a strona prosi o „zalogowanie przez Microsoft” albo „weryfikację konta Minecraft”.
Po czym poznać, że to phishing:
- Strona chce twojego loginu i hasła Microsoft, żeby odebrać nagrodę na serwerze. Serwery nadają rangi w grze albo przez własny sklep, nigdy przez logowanie do twojego konta Microsoft.
- Adres w pasku przeglądarki nie jest prawdziwą domeną logowania Microsoftu, choć strona wygląda identycznie. Takie kopie robi się w kilka minut, a niektóre pokazują nawet fałszywe okno przeglądarki wewnątrz strony.
- Jest presja czasu: „zostało 10 minut”, „tylko dla pierwszych 50 osób”.
- Link przysłał ktoś obcy albo znajomy, który nagle wysyła rzeczy zupełnie nie w swoim stylu. Jego konto mogło już zostać przejęte.
Jeśli chcesz sprawdzić, czy serwer naprawdę coś rozdaje, wejdź sam na jego stronę albo kanał ogłoszeń, zamiast klikać w przysłany link.
Mody, klienty i launchery z niepewnych źródeł
Mod albo klient działa na twoim komputerze z takimi samymi uprawnieniami jak każdy inny program. Złośliwy może odczytać token sesji z launchera, co pozwala grać na twoim koncie bez znajomości hasła, albo wykraść zapisane w przeglądarce hasła i sesję Discorda.
- Pobieraj mody tylko z dużych, znanych serwisów z modami albo ze strony autora. Omijaj reuploady na hostingach plików i linki z opisów filmików.
- Uważaj na „scrackowane” płatne klienty, darmowe mody z kosmetykami i wszystko, co obiecuje cheaty na konkretny serwer. To jedna z głównych dróg, którymi rozchodzą się stealery kont.
- Jeśli serwer wymaga własnego launchera, pobierz go wyłącznie z oficjalnej strony serwera i upewnij się, że inni gracze też go używają.
- Nie uruchamiaj plików, które przysyła ci obca osoba na Discordzie, niezależnie od tego, czy nazywa je modem, paczką tekstur, mapą czy „grą do przetestowania”.
Paczki zasobów i data packi są zasadniczo bezpieczne, bo zawierają tekstury i dane gry, a nie kod do uruchomienia. Ryzyko dotyczy wszystkiego, co odpalasz jako program, czyli plików .exe i .jar, oraz archiwów, które je zawierają.
Oszustwa na Discordzie
Większość społeczności serwerów żyje na Discordzie, więc tam zaczyna się sporo oszustw. Najczęstsze schematy:
- Fałszywa weryfikacja. Bot albo użytkownik każe ci się zweryfikować przez logowanie do Microsoftu albo zeskanowanie kodu QR. Zeskanowanie takiego kodu telefonem może zalogować oszusta na twoje konto.
- „Przez przypadek cię zgłosiłem”. Ktoś twierdzi, że omyłkowo zgłosił twoje konto, i odsyła cię do „supportu”, który prosi o dane logowania.
- „Przetestuj moją grę”. Miły nieznajomy albo przejęte konto znajomego prosi o odpalenie pliku. W środku jest złośliwe oprogramowanie.
- Handel przez pośrednika. Przy kupnie itemów lub kont fałszywy „middleman” bierze pieniądze albo dane i znika.
Na dużych serwerach Discord ustaw wiadomości prywatne tylko od znajomych, a dziwne prośby od kolegów potwierdzaj innym kanałem, na przykład telefonicznie, zanim cokolwiek zrobisz.
Włącz weryfikację dwuetapową
Weryfikacja dwuetapowa na koncie Microsoft to najmocniejsze pojedyncze zabezpieczenie, jakie możesz dodać. Po jej włączeniu samo hasło nie wystarczy, bo Microsoft poprosi jeszcze o kod z aplikacji uwierzytelniającej, SMS-a albo maila na osobny adres.
- Zaloguj się na konto Microsoft na oficjalnej stronie konta.
- Wejdź w sekcję zabezpieczeń i otwórz zaawansowane opcje zabezpieczeń.
- Włącz weryfikację dwuetapową i dodaj aplikację uwierzytelniającą lub numer telefonu.
- Zapisz kod odzyskiwania, który pokaże Microsoft, i trzymaj go w bezpiecznym miejscu poza komputerem.
Przy okazji sprawdź, czy zapasowy e-mail i numer telefonu są aktualne i należą do ciebie. To z nich Microsoft skorzysta, gdy trzeba będzie odzyskać dostęp. Jeśli konto zakładał ci rodzic, upewnij się, że oboje wiecie, gdzie przychodzą kody.
Osobne hasło na każdym serwerze NP
Serwery non-premium każą wpisać /register z hasłem, które przechowuje sam serwer. Nie wiesz, jak jest zabezpieczone, a małe serwery regularnie padają ofiarą włamań, zmieniają właścicieli albo znikają razem z bazą danych. Wycieki haseł z serwerów gier są potem sprawdzane na kontach Microsoft i skrzynkach pocztowych.
- Nigdy nie wpisuj na serwerze hasła do Microsoftu ani do poczty.
- Na każdym serwerze używaj innego hasła, żeby wyciek z jednego nie otwierał pozostałych.
- Menedżer haseł bardzo to ułatwia, ale nawet zeszyt w szufladzie jest lepszy niż jedno hasło do wszystkiego.
Jeśli masz kupioną grę, filtr serwerów premium na stronie głównej pokaże serwery, na których dodatkowe hasło w ogóle nie jest potrzebne. Przy każdym serwerze na liście widać też oznaczenie premium lub non-premium, więc wiesz z góry, na jaki serwer wchodzisz.
Sprawdź serwer, zanim na niego wejdziesz
Większość serwerów prowadzą ludzie, którym po prostu zależy na graczach. Kilka minut sprawdzania pomaga jednak ominąć te, którym zależy na czymś innym. Przeczytaj opinie graczy przy serwerze i zerknij na liczbę graczy online oraz głosy. Uważaj na serwery, które bez wyraźnego powodu wymagają własnego launchera, i na administrację, która naciska, żeby przenieść rozmowę na priv. Odpowiedzi na ogólne pytania o samą listę znajdziesz w FAQ.
Co zrobić, gdy ktoś przejął konto
Działaj od razu. Im szybciej zaczniesz, tym większa szansa, że odzyskasz konto, zanim złodziej pozmienia wszystkie dane odzyskiwania.
- Spróbuj zalogować się na konto Microsoft. Jeśli hasło nadal działa, natychmiast je zmień, wyloguj wszystkie inne sesje w ustawieniach zabezpieczeń i włącz weryfikację dwuetapową.
- Jeśli nie możesz się zalogować, skorzystaj z formularza odzyskiwania konta dostępnego na oficjalnej stronie logowania Microsoftu. Wypełnij go z urządzenia i sieci, z których wcześniej korzystałeś, i podaj jak najwięcej szczegółów: stare hasła, datę zakupu Minecrafta, tematy wysłanych maili.
- Zmień hasło do poczty powiązanej z kontem i do każdego innego konta, na którym używałeś tego samego hasła.
- Przeskanuj komputer programem antywirusowym, zwłaszcza jeśli niedawno uruchamiałeś moda, klienta albo plik z niepewnego źródła. Bez tego złodziej może przejąć konto ponownie.
- Daj znać administracji serwerów, na których masz rangi albo itemy, i ostrzeż znajomych na Discordzie, bo oszust może pisać do nich z twojego profilu.
Jeśli formularz zostanie odrzucony, możesz wysłać go ponownie z dokładniejszymi informacjami. Omijaj osoby, które oferują „odzyskanie konta” za opłatą. To kolejne popularne oszustwo.
Krótka lista kontrolna
- Nikt uczciwy nie potrzebuje twojego hasła do Microsoftu ani kodów weryfikacyjnych.
- Weryfikacja dwuetapowa jest włączona, a dane odzyskiwania aktualne.
- Każde hasło na serwerze jest inne i różni się od hasła do Microsoftu i poczty.
- Mody i klienty pobierasz tylko z oficjalnych źródeł.
- Linki z darmowymi rangami i itemami ignorujesz.