Sécurité Metin2 : Comment protéger votre compte, votre temps et vos objets

La plupart des joueurs Metin2 pensent que la sécurité des comptes est un problème pour quelqu'un d'autre, jusqu'au matin où ils se connectent et découvrent que leur personnage a été dépouillé, leur yang vidé et le minuteur de suppression de personnage en cours. Ce guide couvre ce qui se passe réellement quand un compte Metin2 est compromis, la surface d'attaque que les attaquants utilisent vraiment, et l'ensemble réduit d'habitudes qui bloquent 99 % des prises de contrôle.

Pourquoi les comptes Metin2 méritent d'être défendus

Les joueurs sous-estiment l'attrait qu'un compte Metin2 représente pour un voleur. Un personnage avec deux ans de progression est protégé par un seul mot de passe, souvent le même que celui utilisé pour Discord, l'email et une demi-douzaine d'autres comptes de jeux. La valeur financière des objets à l'intérieur est réelle : équipement haut de gamme, costumes rares, Pierres d'alchimie de dragon et butin de donjons cultivés se négocient entre joueurs pour de l'argent réel sur le marché noir de chaque serveur actif. Un attaquant qui casse un compte s'en va avec des objets valant des dizaines à des centaines d'euros en une heure.

Et ce n'est pas que les objets. Un compte Metin2 compromis est un point d'appui dans votre vie numérique plus large : l'email qui y est lié, tous les serveurs Discord auxquels il est connecté, les chaînes de réinitialisation de mot de passe pour des services sans rapport. L'heure que vous n'avez pas consacrée à la sécurité peut vous coûter des semaines de nettoyage sur une demi-douzaine de comptes.

Ce qui se passe réellement quand un compte est volé

La chronologie d'une prise de contrôle typique de compte Metin2 est plus rapide que la plupart des joueurs ne le réalisent :

• Minute 0 à 5 : l'attaquant se connecte avec le mot de passe divulgué, change le mot de passe du compte, parfois l'email enregistré si le serveur le permet sans confirmation.
• Minute 5 à 30 : tous les objets liquides (équipement, yang, objets, costumes, consommables commercialisables) sont transférés à un compte mule via échange direct, annonces du marché au prix de 1 yang, ou dépôts de stockage de guilde.
• Minute 30 à 60 : l'équipement de haute valeur est dépouillé, parfois détruit si l'attaquant exécute un travail de sabotage au lieu d'un vol.
• Heure 1 et au-delà : le personnage vidé est utilisé pour arnaquer votre liste d'amis avec des messages « prête-moi X pour une course rapide », des invitations d'échange d'objets fausses, des liens de phishing envoyés via DM privé qui semblent provenir d'une personne de confiance.

Au moment où vous remarquez et contactez le support, la piste est souvent froide. La plupart des administrateurs de serveur ne peuvent restaurer les objets que dans une fenêtre étroite, et sur les serveurs chargés, ils traitent plusieurs de ces rapports par jour. La leçon : ne comptez pas pouvoir récupérer. Prévenez la prise de contrôle en premier lieu.

Comment les comptes Metin2 sont compromis

Réutilisation de mot de passe et credential stuffing

C'est le #1 moyen par lequel les comptes Metin2 sont pris. Vous vous êtes inscrit sur un petit forum en 2017 avec le même mot de passe que celui que vous utilisez toujours pour votre compte Metin2. La base de données de ce forum a fui. Des années plus tard, un attaquant télécharge la fuite et essaie chaque paire nom d'utilisateur/mot de passe contre chaque serveur de jeu qu'il peut trouver. Votre compte Metin2 n'a rien de mal à sa propre sécurité ; il meurt à cause d'une violation non liée ailleurs.

Phishing dans le jeu et sur Discord

Le flux de phishing classique Metin2 : un étranger vous chuchote « GM veut vous donner une récompense, connectez-vous ici pour la réclamer », ou un bot Discord usurpant l'identité d'un admin officiel du serveur vous envoie un faux lien de connexion. La page ressemble à celle réelle. Vous entrez vos identifiants. L'attaquant est dedans. Les vrais GMs ne DM jamais les joueurs en demandant une connexion, un mot de passe ou un « code de vérification ». Traitez chaque « contact GM » non sollicité comme hostile par défaut.

Clients malveillants et outils non officiels

Bots de butin automatique, mods de mini-carte, patcheurs « chapeau gratuit », clients modifiés téléchargés depuis des serveurs Discord aléatoires : tous ceux-ci sont des vecteurs de distribution populaires pour les malwares voleurs d'identifiants. L'attaquant n'a pas besoin de vous faire du phishing s'il vous donne un enregistreur de frappe et un enregistreur d'écran. Tenez-vous en au client officiel publié par le serveur sur lequel vous jouez.

Arnaque aux échanges et partage de compte

« Laisse-moi emprunter ton compte pour un donjon, je te donnerai le butin. » « Partage juste ton mot de passe pour que je puisse t'aider à configurer le costume. » Chaque offre de partage de compte se termine de deux façons : l'ami reste amical et rien ne se passe, ou l'ami devient hostile (ou son compte est piraté pendant qu'il est connecté en tant que vous) et vous perdez tout. La valeur attendue du partage est négative. Ne le faites pas.

La liste de contrôle de la défense en profondeur

Aucun des éléments ci-dessous n'est infaillible en soi. Combinés, ils rendent une prise de contrôle si coûteuse que les attaquants passent à des cibles plus faciles :

• Mot de passe unique par compte. Votre mot de passe Metin2 ne doit pas être votre mot de passe email, votre mot de passe Discord, votre autre mot de passe de jeu, ou tout mot de passe que vous avez jamais utilisé ailleurs. Utilisez un gestionnaire de mots de passe (recommandations ci-dessous) pour ne pas avoir à vous en souvenir douze.
• Authentification à deux facteurs partout où elle est supportée. De nombreux comptes de lanceur de serveurs et la plupart des fournisseurs de messagerie (Gmail, Outlook, ProtonMail, Yandex) vous permettent d'ajouter un code TOTP via une application comme Authy, Aegis ou Google Authenticator. Activez-la. Un compte protégé par 2FA survit même à une fuite de mot de passe complète.
• Email de jeu dédié. Créez une adresse que vous n'utilisez que pour les comptes de jeu. Si cette boîte aux lettres est compromise, le rayon de blast est limité aux jeux ; votre email bancaire et professionnel restent sûrs.
• Ne cliquez jamais sur les liens de connexion en jeu. Les vrais admins vous dirigent uniquement vers l'URL officielle du serveur. Tapez-la manuellement ou utilisez un signet. Les raccourcisseurs d'URL et les redirections Discord envoyés par des étrangers sont 95 % du phishing.
• Vérifiez le cadenas SSL avant de vous connecter. La page de connexion de chaque serveur Metin2 légitime est servie via HTTPS avec un certificat valide. Si l'icône de cadenas est manquante ou que le navigateur avertit à propos du certificat, fermez l'onglet et vérifiez l'URL.
• Ne partagez pas. Jamais. Le partage de compte casse le modèle de sécurité peu importe la confiance que vous accordez à l'ami. Son PC peut être compromis même s'il ne l'est pas.
• Surveillez les emails de réinitialisation de mot de passe que vous n'avez pas déclenchés. S'il en arrive un, changez votre mot de passe immédiatement ; quelqu'un essaie de se connecter.
• Évitez les clients non officiels et les outils « objets gratuits ». Si un téléchargement veut remplacer des fichiers dans votre dossier Metin2 et ne provient pas du lanceur officiel, traitez-le comme un malware.

Gestionnaires de mots de passe et générateurs

La chose la plus efficace que vous puissiez faire pour votre sécurité est d'installer un gestionnaire de mots de passe et de le laisser générer un mot de passe aléatoire de 16 caractères par compte. Les valeurs par défaut solides :

• Bitwarden, open-source, gratuit pour un usage personnel, audité, se synchronise sur chaque plateforme.
• 1Password, finition premium, excellent plan familial, très rapide sur chaque OS.
• KeePassXC, entièrement hors ligne, pas de cloud, idéal si vous ne voulez pas qu'un tiers héberge votre coffre-fort.
• LastPass, établi depuis longtemps et facile pour les nouveaux venus ; notez son historique de violation de 2022 avant de vous engager.

Si vous préférez générer des mots de passe manuellement :

• Générateur de mots de passe Bitwarden, fonctionne dans n'importe quel navigateur, pas d'inscription.
• Générateur de mots de passe Norton, simple, marque de sécurité de confiance.

Pour les propriétaires de serveur : l'autre moitié de l'équation

Les joueurs peuvent tout faire correctement et se faire posséder si le serveur lui-même n'est pas sécurisé. Si vous exploitez un serveur Metin2, la liste de contrôle opérationnelle minimale est :

• Protection DDoS devant les serveurs de connexion et de jeu. Un concurrent déterminé peut mettre un serveur non protégé hors ligne pour le coût d'un mardi après-midi.
• Hachage de mot de passe Bcrypt ou Argon2 sur la base de données de compte, jamais en texte brut, jamais MD5, jamais SHA-1 non salé. Si la DB fuit, le coût du craquage devrait être assez élevé pour que ce ne soit pas rentable pour l'attaquant.
• Protection bot sur les points de terminaison d'enregistrement et de connexion. Un CAPTCHA gratuit construit pour Metin2 bloque les scripts de credential stuffing qui sont le vecteur d'attaque #1 contre les comptes de vos joueurs.
• Sauvegardes de base de données hors site, chiffrées au repos. Les groupes de rançongiciels ciblent spécifiquement les petits opérateurs de serveurs de jeux parce que la base de joueurs pousse l'admin à payer.
• 2FA pour les comptes du personnel. Chaque compte qui peut déplacer des objets, bannir des joueurs ou lire la DB doit être derrière un deuxième facteur. Un compte GM compromis est pire qu'un compte joueur compromis.
• Contact de sécurité public sur le site web du serveur pour que les chercheurs et les joueurs aient un moyen de divulguer les vulnérabilités de manière responsable.

Signaux d'alerte : reconnaître l'arnaque avant de cliquer

Si l'un de ceux-ci correspond au message devant vous, éloignez-vous :

• Un « admin », « GM » ou « modérateur » vous DM à propos de votre compte de nulle part.
• L'URL a un tiret ou un mot supplémentaire que le vrai domaine n'a pas (par exemple, metin2-pserver-login.com au lieu du vrai site).
• On vous demande votre mot de passe, votre « jeton de session », votre code de confirmation email ou vos codes de sauvegarde 2FA.
• Un minuteur vous pousse à agir en 60 secondes ou « la récompense expire ».
• La page vous demande de désactiver votre antivirus ou de « faire confiance » à un exécutable non signé.
• Le compte d'un ami vous DM soudainement un lien de connexion ou une pièce jointe « regardez cette vidéo ».

Le résumé

La sécurité Metin2 consiste principalement à éviter deux choses : réutiliser les mots de passe et faire confiance aux messages non sollicités. Le reste est une défense en profondeur progressive. Installez un gestionnaire de mots de passe aujourd'hui, activez 2FA où vous le pouvez, gardez votre email de jeu séparé de votre vrai email, et traitez chaque « GM » qui vous chuchote de nulle part comme hostile. Faites cela et le temps que vous avez investi dans votre personnage reste où il doit être : sur votre personnage.