En tout cas ce qui est sur c'est que cette sécurité est plus une ouverture qu'autre chose et c'est facilement exploitable par les serveurs privés.
Au niveau de la loi je ne suis pas sur que cela doit forcément apparaître dans la CGU mais Ankama devrait au moins informé les utilisateurs de cette faille.
Un utilisateur lambda ne risque rien tant qu'il ne se connecte pas à un serveur privé donc il faut voir aussi de quelle manière Ankama voit la chose.
Et oui c'est bel est bien envoyé via le Hash, je peux vous l'assurer.