Club Penguin Rewritten (يوليو 2019)

يمكن لعناوين البريد الإلكتروني وأسماء المستخدمين وعناوين IP الواردة في هذا السجل أن تربط معلومات الاتصال الحقيقية بهوية اللاعب. فقد يرتبط اسم المستخدم بهويته داخل اللعبة وملفه الشخصي في المجتمع. ويمكن استخدام عنوان البريد الإلكتروني لاسترداد الحساب وتلقي الإشعارات وتسجيل الدخول إلى منصات أخرى. أما عنوان IP فلا يكشف مباشرةً عن عنوان فعلي، لكنه قد يوفر مؤشرات تقريبية عن منطقة الاتصال أو مزود الخدمة أو سياق الجلسة. وعند استخدام هذه الحقول معًا، يمكن أن تجعل إعلانات اللعبة الزائفة وتنبيهات أمان الحساب ورسائل المجتمع أكثر إقناعًا.

يقلل تخزين كلمات المرور على هيئة قيم تجزئة باستخدام bcrypt مباشرةً من المخاطر المرتبطة بكلمات المرور المخزنة كنص صريح. ومع ذلك، تظل إعادة استخدام كلمات المرور مشكلة كبيرة. فإذا استخدم شخص كلمة المرور نفسها لحساب بريده الإلكتروني وحساب اللعبة وحسابات التواصل الاجتماعي أو منتديات ألعاب أخرى، فقد يحاول المهاجمون تخمينها أو تجربتها على خدمات أخرى. ويجب مراعاة احتمال اختيار الأطفال والمستخدمين صغار السن كلمات مرور بسيطة أو استخدام كلمة المرور نفسها في ألعاب مختلفة. لذلك، ينبغي التحقق ليس فقط من حساب Club Penguin Rewritten، بل أيضًا من الحسابات الأخرى المرتبطة بالبريد الإلكتروني واسم المستخدم نفسيهما.

يبلغ عدد الحسابات التي تأكد تأثرها في هذا السجل 4,007,909 حسابًا. والتاريخ المسجل للحادث هو 27 يوليو 2019. وتقتصر أنواع البيانات على عناوين البريد الإلكتروني وعناوين IP وأسماء المستخدمين وقيم تجزئة كلمات المرور باستخدام bcrypt. يجب إبقاء خرق Club Penguin Rewritten السابق، الذي وقع في يناير 2018، منفصلًا عن هذا السجل؛ إذ يرتبط الحادث الأقدم بنحو 1.7 مليون حساب، وينبغي اعتباره سجلًا مستقلًا. أما سجل يوليو 2019 فيخص الحادث الأحدث والأوسع نطاقًا.

لا يثبت هذا السجل تسرب بيانات الأسماء الحقيقية أو أرقام الهواتف أو العناوين الفعلية أو تواريخ الميلاد أو بطاقات الدفع أو المعلومات المصرفية أو رسائل الدردشة أو سجل المشتريات داخل اللعبة. ورغم أن Club Penguin Rewritten خدمة ألعاب أنشأها المعجبون، فإن هذا السجل لا يتضمن سوى الحقول الموثقة المرتبطة بمعرّفات الحساب والجلسة. وينبغي ألا يتضمن الوصف حقولًا غير موثقة، مثل صور المستخدمين أو وثائق هوياتهم الحقيقية أو معلوماتهم المالية. ويتمثل النطاق الصحيح في المخاطر المرتبطة بالبريد الإلكتروني واسم المستخدم وعنوان IP وقيمة تجزئة كلمة المرور باستخدام bcrypt.

المستخدمون الأكثر عرضة للخطر هم من يستخدمون كلمة مرور حساب Club Penguin Rewritten في حسابات أخرى أيضًا. وتكتسب هذه المسألة أهمية خاصة للمستخدمين صغار السن، لأن كلمة المرور نفسها قد تكون قد استُخدمت في ألعاب مختلفة أو حسابات البريد الإلكتروني المدرسي أو حسابات التواصل الاجتماعي أو الحسابات التي يستخدمها أفراد الأسرة على الأجهزة. وإذا اختُرق حساب البريد الإلكتروني، فقد تقع روابط إعادة تعيين كلمات المرور للحسابات الأخرى أيضًا في يد المهاجم. لذلك، ينبغي للآباء والمستخدمين إعطاء الأولوية لحماية حساب البريد الإلكتروني.

تتكون الفئة الثانية المعرّضة للخطر من اللاعبين الذين يستخدمون اسم المستخدم الخاص بهم داخل اللعبة على منصات مختلفة أيضًا. فعندما يتكرر اسم المستخدم نفسه في المنتديات أو ملفات التواصل الاجتماعي أو ألعاب أخرى، ينشأ خطر الربط بين هذه الملفات الشخصية. ويمكن للمهاجمين استخدام هذه المعلومات لإعداد رسائل زائفة تنتحل صفة المشرفين أو تعرض هدايا داخل اللعبة أو عناصر مجانية أو تطلب التحقق من الحساب أو تتضمن تنبيهات أمنية. كما يمكن لعنوان IP أن يجعل هذا الاستهداف أكثر إقناعًا على المستوى الإقليمي. وفي مجتمعات الألعاب المخصصة للأطفال، تكتسب عادات التواصل الآمن أهمية أيضًا.

ينبغي عدم استخدام كلمة مرور Club Penguin Rewritten في أي حساب آخر. وعلى المستخدم أو أحد الوالدين التحقق من حسابات البريد الإلكتروني والألعاب والتواصل الاجتماعي والحسابات المدرسية التي ربما استُخدمت فيها كلمة المرور نفسها، وتعيين كلمة مرور قوية وفريدة لكل حساب. ويسهّل استخدام مدير كلمات المرور هذه العملية. وحتى مع استخدام Bcrypt، قد تصبح كلمات المرور الضعيفة أو المعاد استخدامها قابلة للتخمين بمرور الوقت. ولا تُعد إعادة استخدام كلمة مرور قديمة مع تغييرات طفيفة ممارسة آمنة.

ينبغي تفعيل المصادقة الثنائية على حساب البريد الإلكتروني ومراجعة الجلسات الأخيرة. ويجب توعية الأطفال والمراهقين بعدم النقر على الروابط في الرسائل التي تبدو صادرة عن مدير اللعبة أو أحد المشرفين، أو تعرض عناصر مجانية أو تطلب التحقق من الحساب أو تتضمن تنبيهًا أمنيًا. ولا ينبغي لأي مدير حقيقي للعبة أن يطلب مطلقًا كلمة مرور البريد الإلكتروني للمستخدم أو رمز التحقق أو أي معلومات أخرى عن الحساب. ويجب مراجعة الرسائل المشبوهة مع أحد الوالدين أو شخص بالغ موثوق به.

ينبغي ألا يُنظر إلى مجتمعات الألعاب على أنها مجرد مساحة للترفيه، خاصةً حين يتعلق الأمر بالأطفال والمراهقين. فقد ترتبط الحسابات بهويات رقمية أخرى من خلال البريد الإلكتروني واسم المستخدم وكلمة المرور. وعلى المدى الطويل، ينبغي استخدام كلمة مرور مختلفة لكل حساب ألعاب، والإبقاء على أدوات الرقابة الأبوية والتنبيهات الأمنية مفعّلة في حسابات الأطفال. ومن المهم أيضًا لحماية الخصوصية ألا تتضمن أسماء المستخدمين معلومات شخصية، وألا تُكرر على منصات مختلفة دون حاجة.

أما على مستوى المنصات، فلا تكفي طريقة قوية لتخزين كلمات المرور وحدها. إذ ينبغي مراجعة صلاحيات الوصول وحسابات المسؤولين والبنية التحتية القديمة وسجلات الجلسات وإجراءات الإبلاغ عن الحوادث بانتظام. وفي المجتمعات التي تستهدف الأطفال، يجب منح سلامة المستخدمين وأمان التواصل أولوية أكبر. ومن منظور المستخدمين، تقوم الاستراتيجية المستدامة على كلمات مرور فريدة، وأمان حساب البريد الإلكتروني، والحذر من رسائل الألعاب المشبوهة، والمراجعة المنتظمة للحسابات بدعم من الوالدين.

يشير العثور على تطابق في هذا السجل إلى أن عنوان البريد الإلكتروني المعني وارد ضمن الحسابات المرتبطة بخرق بيانات Club Penguin Rewritten في يوليو 2019. ولا يعني وجود تطابق أن الاسم الحقيقي للمستخدم أو عنوانه أو معلومات الدفع الخاصة به أو محتوى محادثاته مشمول بالنطاق الموثق لهذا السجل. فالحقول الموثقة هي عنوان البريد الإلكتروني وعنوان IP واسم المستخدم وقيمة تجزئة كلمة المرور باستخدام bcrypt. وإذا استخدم الشخص كلمة المرور نفسها في حسابات أخرى، فينبغي إعطاء الأولوية لتغيير كلمات المرور في تلك الحسابات.

ينبغي للآباء التحقق مما إذا كان الأطفال أو المستخدمون صغار السن قد سجلوا في ألعاب أخرى بالبريد الإلكتروني واسم المستخدم نفسيهما. ويجب عدم الاستجابة لرسائل الألعاب المشبوهة أو وعود الحصول على عناصر مجانية أو روابط التحقق من الحساب أو الطلبات التي تبدو صادرة عن المشرفين، دون التحقق منها عبر القناة الرسمية. وبعد تأمين حساب البريد الإلكتروني، ينبغي مراجعة الجلسات في حسابات الألعاب والتواصل الاجتماعي وإزالة الروابط غير المعروفة. وحتى إن كان هذا الحادث قديمًا، فقد يستمر أثره بسبب إعادة استخدام كلمات المرور.