Club Penguin Rewritten (يناير 2018)

تشمل فئات البيانات التي تم التحقق منها عناوين البريد الإلكتروني وعناوين IP وأسماء المستخدمين وكلمات المرور. وقد أُفيد بأن حقل كلمة المرور كان بصيغة تجزئة bcrypt؛ وهذا لا يعني أن كلمة المرور متاحة بصيغة يمكن قراءتها مباشرة. ومع ذلك، قد يحاول المهاجمون تجربة كلمات مرور ضعيفة أو قصيرة أو مُعاد استخدامها. وعندما يتوفر عنوان البريد الإلكتروني واسم المستخدم معًا، قد يحاول المهاجمون ربط حساب اللعبة بهويات على منصات أخرى.

يمكن أن توفّر عناوين IP قرائن عن الموقع التقريبي ومزوّد خدمة الإنترنت وسياق الجلسة. وتتطلب هذه البيانات تعاملًا أكثر حذرًا عندما تتعلق بأطفال ولاعبين صغار. ويمكن استخدام معلومات اسم المستخدم والبريد الإلكتروني وعنوان IP في محاولات هندسة اجتماعية تتضمن رسائل مزيّفة من المشرفين، أو وعودًا بعناصر مجانية، أو روابط للتحقق من الحساب، أو ذرائع لرفع العقوبات. لذلك، لا تقتصر أهمية الحادث على تغيير كلمة المرور بوصفه إجراءً تقنيًا، بل تشمل أيضًا الوعي الأمني داخل اللعبة.

يشمل هذا السجل 1,688,176 حسابًا متأثرًا، ويُسجَّل تاريخ الحادث في 21 يناير 2018. وتشمل حقول البيانات التي تم التحقق منها عنوان البريد الإلكتروني وعنوان IP واسم المستخدم وقيمة تجزئة كلمة المرور باستخدام bcrypt. وقد أُفيد بأن مسؤولي المنصة كانوا على علم بالحادث وأنهم تواصلوا مع المستخدمين المتأثرين. يخصّ هذا السجل خدمة مستقلة أعادت إنشاء لعبة Club Penguin؛ ولا ينبغي اعتباره سجلًا لبيانات خدمة Club Penguin الأصلية التابعة لشركة Disney.

لا يصنّف هذا السجل بيانات بطاقات الدفع أو العنوان الفعلي أو رقم الهاتف أو تاريخ الميلاد أو محتوى الرسائل الخاصة أو الاسم الحقيقي ضمن البيانات التي تم التحقق منها. كما أنه لا يشمل حادث Club Penguin Rewritten المنفصل الذي وقع في يوليو 2019. ورغم أن الحادثين يندرجان تحت اسم العلامة التجارية نفسه، ينبغي تقييم كل منهما وفق تاريخه ونطاقه المختلفين. وهذا التمييز مهم لتجنّب الاعتقاد بأن السجلات مكررة، ولضمان فهم المستخدم على نحو صحيح للحادث الذي تتعلق به المطابقة.

المستخدمون الأكثر عرضة للخطر هم من استخدموا كلمة مرور حساب Club Penguin Rewritten نفسها في ألعاب أخرى أو في حسابات البريد الإلكتروني أو وسائل التواصل الاجتماعي أو المنتديات. ولأن الأطفال والمراهقين غالبًا ما يديرون حسابات الألعاب، فقد يختارون كلمات مرور بسيطة أو يعيدون استخدامها في مواضع متعددة. وبالنسبة إلى الحسابات التي أُنشئت بعنوان البريد الإلكتروني لأحد الوالدين، قد يمتد الخطر إلى حساب الأسرة أيضًا، لأن إعادة تعيين كلمات المرور وإشعارات الأمان تُدار عبر البريد الإلكتروني.

قد تجعل معرفة اسم المستخدم انتحال هوية اللاعب داخل اللعبة أو تنفيذ عمليات احتيال عبر استرداد الحساب أكثر سهولة للمهاجم. ولا تكشف معلومات عنوان IP عن العنوان الدقيق؛ لكن معلومات المنطقة التقريبية ومزوّد الخدمة قد تساعد في جعل الرسائل الموجّهة أكثر إقناعًا. وقد يكون الأطفال الذين يلعبون أكثر عرضة للانخداع بوعود مثل العناصر المجانية أو الحسابات النادرة أو صلاحيات المشرفين أو رفع الحظر. لذلك، يحتاج الوالدان وأصحاب الحسابات إلى اتخاذ الإجراءات معًا.

ينبغي للمستخدم الذي يلاحظ وجود مطابقة في هذا السجل تغيير كلمة المرور المستخدمة في حسابه على Club Penguin Rewritten، وكذلك في أي حسابات أخرى تستخدم كلمة المرور نفسها أو كلمة مشابهة. ويجب إعطاء الأولوية لتأمين حساب البريد الإلكتروني، وتفعيل المصادقة متعددة العوامل، والتحقق من الجلسات المشبوهة. وإذا كان طفل يستخدم الحساب، فعلى أحد الوالدين أيضًا مراجعة إعادة استخدام كلمات المرور في حساب البريد الإلكتروني وحسابات الألعاب وحسابات وسائل التواصل الاجتماعي.

ينبغي عدم الوثوق تلقائيًا برسائل التحقق من الحساب داخل اللعبة أو عبر البريد الإلكتروني، أو عروض العضوية المجانية، أو مكافآت العناصر، أو عروض رفع العقوبات، أو طلبات التقدّم للعمل كمشرف، أو رسائل التنبيه الأمني. ويجب التحقق من اسم النطاق قبل فتح أي روابط، وتنفيذ الإجراءات، إن أمكن، بالانتقال مباشرة إلى العنوان المعروف. فالشخص الذي يعرف اسم المستخدم الخاص بك ومعلوماتك السابقة في اللعبة لا يُعدّ جديرًا بالثقة. ويجب عدم مشاركة رموز التحقق أو كلمات المرور الجديدة أو إمكانية الوصول إلى البريد الإلكتروني أو معلومات استرداد الحساب مع أطراف أخرى تحت أي ظرف.

يوضح حادث Club Penguin Rewritten أن أمان الحساب يتطلب اهتمامًا خاصًا في مجتمعات الألعاب التي تضم أطفالًا ومستخدمين صغارًا. وينبغي للوالدين التأكد من أن الأطفال يستخدمون كلمات مرور فريدة لحسابات الألعاب، وأن الحسابات المهمة تُدار عبر عناوين بريد إلكتروني آمنة يسيطر عليها الوالدان. ويسهّل استخدام مدير كلمات المرور إنشاء كلمات مرور فريدة لمختلف الألعاب ومنصات التواصل الاجتماعي. وإذا كانت حسابات الألعاب القديمة غير مستخدمة، فينبغي إغلاقها أو تقليل المعلومات الشخصية فيها إلى الحد الأدنى.

لا تقتصر الاستراتيجية طويلة الأمد على الإجراءات التقنية. بل يجب توعية الأطفال بوضوح بشأن الاحتيال داخل اللعبة، ورسائل المشرفين المزيّفة، والوعود بعناصر مجانية، ومخاطر مشاركة الحسابات. وإذا كانت أسماء المستخدمين تُستخدم أيضًا على منصات أخرى، فينبغي تذكّر أن المهاجمين قد يتمكنون من الربط بين الملفات الشخصية. وقد تجعل التسرّبات القديمة التي تتضمن بيانات عناوين IP والبريد الإلكتروني الرسائل الموجّهة مستقبلًا تبدو أكثر واقعية؛ لذلك ينبغي التحقق من المراسلات المشبوهة عبر قناة منفصلة.

يشير ظهور مطابقة في هذا السجل إلى أن عنوان البريد الإلكتروني المعني موجود ضمن الحسابات التي ظهرت في تسرّب بيانات Club Penguin Rewritten في يناير 2018. ولا تحمل هذه المطابقة المعنى نفسه الذي تحمله مطابقة في الحادث المنفصل الذي وقع في يوليو 2019، كما ينبغي عدم اعتبارها بيانات من خدمة Club Penguin الأصلية التابعة لشركة Disney. ويقتصر نطاق هذا السجل الذي تم التحقق منه على عنوان البريد الإلكتروني وعنوان IP واسم المستخدم وقيمة تجزئة كلمة المرور باستخدام bcrypt.

ينبغي للمستخدم أو أحد الوالدين أولًا التوقف عن إعادة استخدام كلمات المرور، وتعزيز أمان حساب البريد الإلكتروني، والحذر من الرسائل المزيّفة التي تتضمن اسم المستخدم نفسه المستخدم في حسابات الألعاب. وإذا كانت كلمات مرور الألعاب القديمة مستخدمة على منصات أخرى، فيجب تغييرها فورًا. وإذا كان الحساب يخصّ طفلًا، فعلى أحد الوالدين مراجعة خيارات استرداد الحساب، وإغلاق الحسابات القديمة، وشرح قواعد أمان موجزة وواضحة للطفل بشأن مشاركة الحسابات ورسائل المكافآت المزيّفة.