Suppression des comptes Ubisoft inactifs : l'éditeur rectifie et rassure

Mallory Delicourt

24 juillet 2023 à 15h15

Ubisoft a informé par mail certains des utilisateurs de la plateforme Ubisoft Connect qu'ils allaient perdre les accès à leur compte et aux jeux achetés s'ils ne se reconnectaient pas dans les 30 jours.

Mise à jour le 25/07/2023 à 08:50 :

Ubisoft a clarifié les choses auprès de nos confrères d'IGN. Les comptes Ubisoft Connect sur lesquels se trouvent des jeux PC achetés ne sont plus éligibles à la fermeture. Si le compte est lié à un autre launcher, il sera également préservé.

Le débat sur la propriété et la conservation des jeux numériques une nouvelle fois relancée.

Le RGPD en jeu, mais pas seulement

Depuis quelques jours, certains utilisateurs de Twitter (X) et d'autres réseaux sociaux partagent en ligne un mail envoyé par le support d'Ubisoft. Dans ce dernier, ils apprennent que leur compte Ubisoft Connect est menacé de suppression pour inactivité sous 30 jours. Pour contrer cela, les utilisateurs doivent suivre le lien fourni et se connecter à leur compte dans le délai indiqué. Une simple manipulation qui n'est pourtant pas du tout au goût des utilisateurs, qui en profitent pour pester contre la dématérialisation du jeu vidéo, et rappeler qu'ils ont payé leurs jeux.

Ce mail ne serait envoyé qu'après 4 ans d'inactivité, et Ubisoft invoque le respect du règlement général de protection des données, le même règlement qui bloque la sortie de Threads en Europe. La réglementation, dont le principal objectif est de limiter l'utilisation qui est faite de nos données personnelles, contraint notamment Ubisoft à supprimer les comptes inactifs depuis un certain temps. Et c'est là que le bât blesse. Ubisoft a effectivement l'obligation d'appliquer le RGPD et de protéger les données personnelles, mais aucune mesure ne lui impose la façon de faire ni même un quelconque délai.

Comme l'indique Guillaume Champeau, juriste, le RGPD impose juste une proportionnalité dans la conservation des données. C'est ensuite à l'entreprise de choisir la façon dont elle opère. Autrement dit, Ubisoft aurait pu fixer à 6, 12 ou 20 ans le délai avant d'avertir d'un risque de suppression, ou simplement décider d'associer l'historique des achats à une adresse dans l'optique d'une réactivation, ou encore estimer que seuls les comptes sans jeux peuvent être supprimés.

La conservation des biens numériques une nouvelle fois au cœur du sujet

Le dématérialisé gagne énormément de terrain, et ce, dans tous les domaines. Des impôts aux jeux vidéo en passant par les livres, les films ou encore la musique, le sujet est vaste. Dans le cas du jeu vidéo, outre l'épineuse question de la propriété des biens numériques, se pose celle de la conservation du patrimoine.

Dans un court communiqué, Ubisoft essaye de rassurer le public en indiquant que les comptes inactifs ne sont pas automatiquement supprimés. Ils ne le sont que « dans de rares cas », et uniquement si les gestionnaires ont « de bonnes raisons de croire que le compte en question restera inutilisé ». De quoi respirer un peu quant à la perte de sa ludothèque Ubisoft sur PC, mais qui ne met pas du tout fin au débat de fond.

Vous avez récemment pu lire dans nos colonnes que 9 jeux sur 10 sortis avant 2010 sont introuvables dans le commerce, et que les conservateurs ont toutes les peines du monde à obtenir des éditeurs des versions numériques des jeux. En France, le dépôt légal est une obligation, et les responsables de la conservation rappellent régulièrement aux ayants droit qu'une procédure de dépôt des fichiers existe pour les œuvres dématérialisées. Pour beaucoup, il est grand temps de légiférer de façon très explicite à ce sujet. Reste à voir sir cela se produira ou non.

Source : InsiderGaming

Mallory Delicourt

Lire d'autres articles

Historien finalement tombé dans le jeu vidéo, je me passionne pour ces deux domaines ainsi que pour l'espace, les sciences en général, la technologie et le sport. Streameur en pointillé, j'ai tellement de jeux à faire que j'ai dû créer un tableur. Rédacteur newseur depuis 6 ans, j'aime faire vivre l'actualité aux lecteurs.

Lire d'autres articles

Commentaires (28)

negima

J’ai perdu un compte sur la psn. Il aurait été désactivé pour inactivité. Pour récupérer mon compte, le support me demande un numéro de transaction envoyé par e-mail. Sauf que je ne garde pas les email des transactions. Donc impossible de récupérer mon compte. Sur un autre compte psn que j’ai réussi à récupérer via un lien + date de naissance, tous mes jeux ont été supprimés.

Nmut

Même si le RGPD ne donne pas de durée précise, quand j’ai consulté la CNIL, elle m’a recommandé de ne pas garder plus de 4 ans les données utilisateurs « sans signe de vie »… Ils m’ont aussi dit que cela dépendait de l’activité, cela pouvait être un peu plus long (pour les assurance il me semble), ou même être seulement 1 an (typiquement pour les news letters). Peut-être que c’est aussi 4 ans pour le domaine du jeu vidéo.

bennukem

Autant que je peux, c’est GOG.

tommythefreak

Techniquement et légalement comme dit dans l’article, rien n’oblige Ubisoft à supprimer l’entièreté du compte. Il leur suffirait de désactiver le compte, de supprimer ou d’anonymiser les informations personnelles, d’encrypter l’adresse email afin que l’utilisateur, s’il le souhaite à l’avenir, puisse réactiver son compte et reprendre possession de ses achats. Il est grand temps que l’UE s’intéresse aux pratiques concernant le dématérialisé. Une licence à vie devrait être inconditionnelle.

Nmut

tommythefreak: Il leur suffirait de désactiver le compte, de supprimer ou d’anonymiser les informations personnelles Dans leur cas, il est impossible d’anonymiser les données. A partir du moment ou il y a une adresse mail, ce sont des données personnelles, encodée, encryptée ou tout ce que tu veux => il faut TOUT supprimer dès que l’utilisateur le demande ou si techniquement il n’y a plus de besoin, il est bien spécifié que la rétention des données doit être associée à un besoin technique ET qu’elles forment un tout indissociable.

danicela

Ils donnent un délai de 30 jours au milieu des vacances d’été lol, c’est du troll.

Muggsy68

En quoi cela ne peut pas être anonymiser ? Tu cryptes la donnée, la clé de cryptage permet de décrypter le cas échéant. La donnée sans la clé n’aura aucune valeur, job is done

tommythefreak

Comme dit Muggsy68, l’encryptage de l’adresse email est suffisant dans ce cas précis. Une autre approche au cryptage/décryptage avec une clé privée serait de créer une empreinte de hachage (avec SHA-256 par exemple) à partir de l’adresse email, ce qui permet de retrouver à quel compte correspond une adresse email tout en s’assurant que cette empreinte ne peut être déchiffrée. Ici on ne parle pas d’une demande explicite de suppression de compte et de plus, il y a bien un besoin technique pour conserver les données du compte: permettre à l’utilisateur d’accéder à ses jeux quand il le désire, même après une longue période d’inactivité (retro-gaming par exemple). Bref, on fait tout un foin du RGPD mais au final, il existe des solutions techniques très simples à mettre en place et la logique est toujours la même: ne stocker à long terme que ce qui est nécessaire au bon fonctionnement du service et permettre à l’utilisateur de supprimer l’entièreté de ses données personnelles s’il le souhaite. Ce qui, à nouveau, ne nécessite pas une destruction totale des données mais une anonymisation.

Loposo

Je sais pas mais je me suis connecter et plus de far cry 3 ou assassin creed, OK ca doit faire 6 ans voir plus que je m étais pas connecté, mais bon fini ubisoft

MattS32

Muggsy68: Tu cryptes la donnée, la clé de cryptage permet de décrypter le cas échéant. La donnée sans la clé n’aura aucune valeur, job is done Mais si tu veux pouvoir décrypter, il faut conserver la clé. Donc tu as tout ce qu’il faut pour avoir une donnée personnelle. Ou alors il faut la confier à l’utilisateur. Mais quand il est inactif, lui envoyer la clé, c’est pas dit qu’il va la recevoir et la conserver… Un hash à la limite, ça pourrait peut-être aller, vu que c’est irréversible. Mais légalement je ne suis pas sûr que ça soit considéré comme suffisant, parce que même si c’est irréversible, on peut quand même en tirer des choses… Par exemple un employé d’Ubi pourrait à partir d’une liste d’adresse mails leakée d’un quelconque service, comme on en trouve régulièrement sur Internet, tester lesquelles ont leur hash dans la base Ubi…

Nmut

tommythefreak: ce qui permet de retrouver à quel compte correspond une adresse email tout en s’assurant que cette empreinte ne peut être déchiffrée. Ca c’est la base de la sécurité, ça n’a pas grand chose à voir avec le RGPD (à part l’obligation de sécurité). Pour Ubisoft ou n’importe quel prestataire, on ne peut garder des informations indéfiniment. Mon problème est le même (droits d’accès à un soft) et je dois supprimer les utilisateurs après 4 ans d’inactivité, mais je n’ai pas de notion d’achat (soft limité en diffusion mais gratuit). La grosse différence pour Ubisoft, c’est que le compte correspond à un utilisateur qui possède des jeux achetés, on peut donc considérer que le compte doit être « à vie », alors que dans mon cas, je dois juste relancer la procédure d’autorisation d’utilisation.

Sicca18

Mince, j’utilise un autre launcher et il peut parfois se passer plus de 4 ans avant que je me lance dans un jeu Ubisoft… J’ai énormément de jeu sur steam mais ça ne veut pas dire que je ne souhaite pas y jouer un jour…

tommythefreak

Bien sûr que ça a un rapport, je parle justement de comment mettre en place très simplement l’anonymisation d’un compte pour conserver toutes les données non personnelles et permettre à l’utilisateur de récupérer son compte: il tente une connexion, on trouve la correspondance entre son adresse email et le hash, on lui envoie un email pour vérifier qu’il s’agit bien de l’utilisateur en question, l’utilisateur remplit à nouveau son profil (ses infos personnelles qui ont été supprimées) et le tour est joué. L’incompréhension habituelle avec le RGPD c’est de croire qu’on a pas le droit de conserver les données non personnelles de l’utilisateur, mais c’est faux. Rien ne vous empêche de conserver les données non personnelles (l’activation d’un produit en ce qui vous concerne) sans limite de temps tant qu’il n’est pas possible de retrouver à qui appartient les données en cas de fuite.

Droz

Franchement, c’est juste des voleurs qui cherchent un excuse pour arnaquer encore plus leurs clients. Leur justification ne tient pas du tout la route. On est dans le cadre d’une relation client classique. La dernière de Ubisoft c’est le jeu que tu achète plein pot (trackmania) mais dont tu dois racheter la License 3 ans plus tard, toujours plein pot au prix d’un AAA d’un éditeur honnête que tu peut garder. Ils ont tout tenté pour arnaquer leur jeune clientèle, les NFT, les jeux d’argents déguisés, les lootboxes. C’est pas pour rien qu’ils sont autant détestés dans le monde entier malgré de bons jeux.

Nmut

tommythefreak: l’anonymisation d’un compte pour conserver toutes les données non personnelles et permettre à l’utilisateur de récupérer son compte: Donc tu ne respectes pas le RGPD, il n’y a aucune anonymisation (en fait ce ne sont pas des meta data mais bien des données personnelles, même si le lien est ténu). Tu fais bêtement de la gestion de fichier utilisateur, que les données soient en clair (pas bon ça! ) ou pas. Bon, même les juristes ne sont pas toujours d’accord sur l’interprétation…

tommythefreak

A nouveau, le RGPD traite des données à caractère personnel: « toute information se rapportant à une personne physique identifiée ou identifiable ». Une fois que le lien avec la personne est cassé, ce ne sont que des données, c’est bien pour cela que je précise qu’il y a une incompréhension générale à ce sujet. 2 exemples concrets: si un utilisateur consent dans un premier temps au traitement de ses données à des fins statistiques et que tu anonymises ses données d’activités, rien ne t’oblige à supprimer ces données d’activité après un certain temps ni à sa demande. Cela serait d’ailleurs techniquement impossible de ne supprimer que ces données vu qu’elles ont été anonymisées. Si un utilisateur fait plusieurs commandes sur ton site puis demande la suppression de son compte et de ses données, à nouveau rien ne t’oblige de supprimer l’historique de ses commandes. Tant que tu t’assures que toute information personnelle est supprimée ou anonymisée, tout le reste peut rester en DB.

Nmut

Je n’ai pas la même info de la CNIL et des juristes. L’ensemble des données sont indissociables. A partir du moment ou il y a une adresse mail, un nom, un numéro de sécu, numéro de permis, ou tout autre information permettant d’identifier directement ou indirectement une personne, toutes les données sont considérées comme une seule entité et la suppression doit être globale. Tu peux par contre faire des statistiques sur les données avant de les effacées en globalité (ce qui revient quand même plus ou moins à de la collecte mais bon…). tommythefreak: et que tu anonymises ses données d’activités En fait ici, dès le départ ton fichier n’est pas concerné par le RGPD, donc effectivement tu fais ce que tu veux. tommythefreak: à nouveau rien ne t’oblige de supprimer l’historique de ses commandes Dans la loi si, mais tu peux faire des statistiques et garder « ailleurs » ou « autrement » les infos (je mets les guillemets car c’est comme ça que l’explication m’a été donnée, même si elle n’est pas vraiment satisfaisante!). Il m’a fallu pas mal de temps pour comprendre l’idée qui me semble aussi assez étrange, mais ces lois ont un sens « moral » loin du problème technique, les obligations sont techniquement un peu ridicules.

MattS32

tommythefreak: Une fois que le lien avec la personne est cassé C’est là que se pose le problème. Avec un hash, le lien n’est pas complètement cassé. Parce qu’on trouve facilement des listes de dizaines ou de centaines de millions d’adresse mail dans la nature. Si demain une fuite concerne une liste associant des informations à des hash d’adresse e-mail, il sera possible de réassocier une partie de ces données à des personnes en calculant les hash à partir d’une liste d’adresses mail puis de faire la correspondance avec les hash de la dernière fuite. Même le salage ne règle pas ce problème, puisque le sel doit être stocké, et donc en cas de fuite, il peut fuiter… L’anonymisation n’est donc pas totale, les données peuvent être réassociées à une personne. Si on fait une interprétation très stricte du RGPD, ce n’est donc pas conforme. Cette possibilité de ré-association est bien expliqué par exemple dans ce document : https://www.enisa.europa.eu/publications/pseudonymisation-techniques-and-best-practices_fr/@@download/file (§7.2, p. 38) Pour une vraie anonymisation, il faut un identifiant qui ne soit pas dérivé d’une information personnelle. Donc par exemple tu donnes à chaque compte un id unique généré aléatoirement et tu communiques cet id à l’utilisateur. Quand tu fais le nettoyage des données personnelles, tu ne gardes que cet id et les données non personnelles du compte (par exemple, une liste d’achats). Et si l’utilisateur veut revenir, il doit récréer un compte (même pas forcément avec l’adresse mail d’origine du coup) et fournir cet id unique pour récupérer les données non personnelles de son ancien compte.

ZZorrgg

En meme temps est ce que tu as vraiment envie de retoucher a des jeux de ps1?

MattS32

Pourquoi pas ? Perso ja joue encore de temps en temps à la version Game Boy de Tetris ou a Sim City 2000. Et vu le succès du rétro gaming je suis loin d’être le seul.

ZZorrgg

mais la ps1 marche avec une pertiel non? c plus possible de connecter ca sur une tele moderne?

MattS32

Il y a des adaptateurs HDMI.

Comcom1

Pas forcément, le hash pourrait être une solution, il faut bien évidement la hasher toi même avec une méthode unique du coup la suite récupérée ne correspondrait bel et bien plus à rien. Cependant grâce à ça, un utilisateur qui demande un retour de son compte, il fourni l’identifiant de son compte, on le hash toujours avec la méthode qui va bien et on peu comparer et retrouver ce qui lui appartenait à l’époque car même si on a pas conserver ses informations personnelles, on peut tout de même s’assurer que xhhdkdkll de ta base de données est bien l’utilisateur qui t’a fait la demande, suffit de lui faire remplir un formulaire pour re renseigner ses infos qu’il te faut pour réactiver le compte et le tour est joué.

MattS32

Comcom1: Pas forcément, le hash pourrait être une solution, il faut bien évidement la hasher toi même avec une méthode unique du coup la suite récupérée ne correspondrait bel et bien plus à rien. Sauf qu’en cas d’intrusion sur le serveur, l’attaquant peut trouver le code qui calcule le hash. Et donc utiliser ce code sur sa liste « dictionnaire » pour calculer les hash des adresses mail de sa liste et voir si certains de ces hash sont dans les données qu’il veut analyser. Idem si c’est un employé malveillant, il peut avoir accès à la méthode de calcul du hash, et donc faire des comparaisons entre les hash d’une liste d’email récupérée sur Internet et les hash de la base interne. C’est le même problème qu’avec des hash salés, où le sel est forcément stocké quelque part (le but du salage n’est pas de se protéger contre un bruteforce ou une attaque par dictionnaire, mais seulement contre des listes de hash prégénérées). On réduit simplement un peu plus le risque, parce qu’il faut un peu plus d’infos (le code de la fonction de hashage) pour arriver à refaire les liens, mais ça reste techniquement possible. On peut aussi jouer à utiliser des fonctions de hashage lourdes, comme bcrypt avec un paramètre de coût suffisamment élevé, pour ralentir une attaque par dictionnaire (si par exemple on met 10s à calculer le hash, c’est pas gênant quand l’utilisateur vient pour réactiver son compte, par contre pour le mec qui a une liste d’un million d’adresses à tester, ça va l’emmerder…). Mais ça ne garanti pas non plus, il suffit que l’attaquant ait un coup de bol et il peut trouver une bonne adresse dès les premiers essais. Et la probabilité d’en trouver une sera d’autant plus grande que le service est populaire… si on obtient par exemple une liste de hash d’adresses mail de Twitter et ses près de 500 millions de comptes et qu’on l’attaque avec un dictionnaire d’adresse mail leakées d’un autre service, même s’il faut 10s par hash, statistiquement tu as de bonne chance d’avoir au moins une correspondance en moins d’une journée… Seul un identifiant totalement aléatoire garanti l’impossibilité de refaire le lien avec la personne.

Comcom1

Tout dépend des admins, pourquoi la moulinette serait-elle obligatoirement stockée sur le même server que la BD ? Quel salarié qui a dit que tout les salariés avait le droit d’accès à la méthodologie ou encore les clés de calculs, on pourrait tout à fait avoir les clés d’un côté sous la responsabilité d’une équipe et les clés sous la responsabilité d’une autre. De plus hors le lien de comparaison d’id franchement ça apporterait quoi à un hacker ? ça demanderait bien de l’énergie pour juste être capable de dire que le mec a un compte twitter et un compte Ubisoft ? déjà il faudrait qu’il ait accès à au moins une liste de compte mail en clair, la valeur est déjà trouvée là, après il y a bien d’autres techniques pour savoir sur quel plateforme tel email est enregistrée comme par exemple tout bêtement tenter de recréer en automatique des comptes, si le compte existe déjà, le site te répondra que le compte existe déjà et voilà 0 piratage et tu as l’infos. De plus dans l’exemple que je donnais je disais bien que toutes les informations sont effacées, donc hors être capable de dire que tel email a eu un compte Ubisoft qui a été anonymisé, qu’est-ce que le hacker y gagne ?

MattS32

Comcom1: Tout dépend des admins, pourquoi la moulinette serait-elle obligatoirement stockée sur le même server que la BD ? Quel salarié qui a dit que tout les salariés avait le droit d’accès à la méthodologie ou encore les clés de calculs, on pourrait tout à fait avoir les clés d’un côté sous la responsabilité d’une équipe et les clés sous la responsabilité d’une autre. Encore une fois, là tu ne fait que réduire le risque en répartissant l’information. Mais tu n’arrivera jamais à un risque zéro. Parce que tous les éléments communiquent forcément entre eux d’une façon où d’une autre (par exemple, les résultats de la « moulinette », tu les stockes dans la base… donc même si c’est sur des serveurs différents, il y a forcément un lien entre les deux… donc une ouverture potentielle pour que quelqu’un accède aux deux à la fois). Comcom1: déjà il faudrait qu’il ait accès à au moins une liste de compte mail en clair, la valeur est déjà trouvée là Des listes de mails en clair, il y en a littéralement des centaines de milliers qui circulent sur Internet. Ça fait bien longtemps que de simples adresses mail n’ont plus aucune valeur. Rien que celles qui ont été collectées par le site have i been pwned?, ça représente plus de 100 000 listes, référençant plus de 12 milliards de comptes, provenant de près de 700 services différents… La plus grosse liste contenait à elle seule près de 800 millions d’adresses mail distinctes. Fait l’essai, tu verras qu’il y a de bonnes chances qu’au moins une de tes adresses soit dedans… Perso j’y retrouve toutes mes adresses mail principales, y compris mes 3 dernières adresse pro, sauf une de mes adresses perso, celle que je n’utilise strictement que pour communiquer directement avec des personnes que je connais dans le monde réel… Comcom1: exemple tout bêtement tenter de recréer en automatique des comptes, si le compte existe déjà, le site te répondra que le compte existe déjà et voilà 0 piratage et tu as l’infos. Oui. Raison de plus pour que le site ne garde pas les adresses mail des comptes « expirés ». Ça évite de les exposer à ça. Et certains services commencent à tenir compte de cette fuite potentielle, en limitant la fréquence à laquelle on peut tenter des créations de compte, en mettant des captcha, etc… Ou tout simplement en changeant l’ordre des étapes (méthode qui est aujourd’hui celle préconisée dans ma boîte) : au lieu d’envoyer un mail d’activation du compte après la création du compte, on commence par demander l’adresse mail uniquement. Si elle n’est pas encore dans la base, on y envoie un lien vers le formulaire d’inscription. Sinon, on envoi un mail pour dire à la personne qu’elle a déjà un compte et que si elle ne se souvient pas de son mot de passe elle peut utiliser la procédure de récupération. Comcom1: De plus dans l’exemple que je donnais je disais bien que toutes les informations sont effacées, donc hors être capable de dire que tel email a eu un compte Ubisoft qui a été anonymisé, qu’est-ce que le hacker y gagne ? Si toutes les informations ont été effacées par Ubi à part le hash de l’adresse mail, ça ne sert strictement à rien pour Ubi de garder ce hash… Garder un identifiant, ça n’a de l’intérêt que s’il y a des données associées à cet identifiant. Par exemple une liste de jeux achetés. Pour ce qui est de ce que l’attaquant a à y gagner, c’est sûr que la liste d’achat du citoyen lambda, ça ne vaut pas grand chose, mais il ne faut jamais oublier qu’il n’y a pas que des lambdas, et qu’il y a parfois des personnes qui sont prêtes à mettre de gros moyens pour une attaque ciblée sur une personne… Par exemple, un candidat à une élection n’a pas forcément envie qu’on dévoile les jeux auxquels il jouait il y a 15 ans, ou encore des messages qu’il aurait écrits sur des forums quand il était ado et dont la teneur pourrait ne plus du tout coller avec ses convictions présentes… C’est aussi ça le droit à l’oubli… Et pour l’attaquant, obtenir l’adresse mail qu’utilisait une personnalité quand elle était plus jeune, c’est pas forcément très difficile, il y a très probablement encore des gens qui l’ont connu à l’époque et qui ont encore l’adresse, et ces personnes ne lui veulent pas forcément du bien aujourd’hui… Autre exemple, souviens toi du scandale d’il y a quelques années quand des millions de comptes d’un site spécialisé dans les rencontres extraconjugales avaient fuité… Imagine ce que ça peut donner si même 30 ans après ta dernière utilisation du compte sur un tel site quelqu’un qui connait ton adresse peut encore retrouver que tu as été inscrit sur le service (mais sans nécessairement avoir l’info sur ta date de dernière utilisation… celui qui fait fuiter pourrait très bien effacer cette info pour maximiser la nuisance…), alors que tu ne l’as pas utilisé depuis 20 ans et que tu es parfaitement fidèle à ton conjoint actuel, qui n’est pas le même qu’à l’époque…

Wuinny

Ubisoft fidèles à eux même…

Voir tous les messages sur le forum

Suppression des comptes Ubisoft inactifs : l'éditeur rectifie et rassure

Le RGPD en jeu, mais pas seulement

La conservation des biens numériques une nouvelle fois au cœur du sujet

A découvrir en vidéo

Commentaires (28)

Top app & logiciels

Sur le même sujet