خرق بيانات The Club Penguin Experience

أنواع البيانات المدرجة في هذه الحادثة هي: الفئات العمرية، وعناوين البريد الإلكتروني، وتلميحات كلمات المرور، وكلمات المرور، وأسماء المستخدمين. قد تجعل تلميحات كلمات المرور تخمينها أسهل، حتى إن كانت محمية بقيم تجزئة قوية. وقد يؤدي ربط حقول متعددة بالمستخدم نفسه إلى جعل محاولات المهاجمين لاستخدام إشعارات مزيفة، أو استرداد الحسابات، أو الهندسة الاجتماعية، أو الربط بين الهويات أكثر إقناعًا.

يبدو أن كلمات المرور مخزّنة باستخدام قيم تجزئة bcrypt، وأن بعض السجلات تحتوي على تلميحات لكلمات المرور بنص صريح. إذا وُجدت حقول مثل كلمة المرور، أو تلميح كلمة المرور، أو الرسائل الخاصة، أو الهوية الرسمية، أو المعلومات المالية، أو الموقع، أو صورة الملف الشخصي، فلا تقتصر المخاطر على رسائل البريد الإلكتروني المزعجة وحدها. وحتى في السجلات التي لا تحتوي على كلمات مرور، يمكن استخدام رقم الهاتف، أو العنوان، أو IP، أو تاريخ الميلاد، أو معلومات الملف الشخصي على وسائل التواصل الاجتماعي في هجمات موجّهة.

يشمل السجل نحو 6,300 حساب مشترك مرتبط بالنطاق thecpexperience.com. وتندرج الحادثة ضمن فئة السجلات المتحقق منها. حُدّد النطاق بعد التحقق بصورة منفصلة من عدد الحسابات والنطاق والبلد والقطاع وفئات البيانات. ولم تُعرض أنواع البيانات غير المدرجة على المستخدم كما لو كانت موجودة.

صُحّح تصنيف القطاع إلى ألعاب المعجبين والعوالم الافتراضية، وليس تجارة التجزئة. في بعض الحالات، يظهر رد الشركة في سياقات مختلفة، مثل خدمة تابعة لطرف ثالث، أو حساب في منتدى، أو قائمة بريدية، أو ملف شخصي لمستخدم. وقد فُصلت هذه السجلات كلٌّ على حدة دون تكرارها، مع الحفاظ على السياق الفعلي للخدمة المرتبطة بالحادثة.

يتعرّض للخطر مستخدمو The Club Penguin Experience، والأشخاص الذين يستخدمون اسم المستخدم نفسه في ألعاب أخرى، والحسابات التي شاركت تلميحات كلمات المرور. ويتمثل الخطر الأساسي على هؤلاء المستخدمين في إمكانية مطابقة البيانات المسرّبة مع المعلومات المستخدمة على منصات أخرى. فإذا تكرر البريد الإلكتروني نفسه، أو اسم المستخدم، أو رقم الهاتف، أو IP، أو العنوان، أو كلمة المرور في حسابات مختلفة، أمكن للمهاجمين استغلال هذه المعرّفات المشتركة.

يمكن استغلال سياق اللعبة في رسائل مزيفة بشأن تجديد العضوية، أو عناصر الشخصيات، أو دعوات الفعاليات، أو التحقق من الحساب. وتنتج عن السياقات المختلفة، مثل المنتديات والألعاب والوصفات والإقامة والطاقة وتذاكر الفعاليات والنشرات الإخبارية ووسائل التواصل الاجتماعي والخدمات المالية، مخاطر مختلفة. وينبغي للمستخدم ألا ينظر إلى حقول البيانات وحدها، بل أن يراعي أيضًا الخدمة التي ترتبط بها هذه الحقول.

ينبغي للمستخدمين المتأثرين تغيير كلمات المرور وتلميحاتها، وتحديث التلميحات نفسها في الحسابات الأخرى إن كانوا يستخدمونها فيها أيضًا. إذا انكشفت كلمة مرور أو تلميح لها، فعلى المستخدمين تغييرها في جميع الحسابات التي يستخدمون فيها كلمة المرور نفسها أو كلمة مرور مشابهة، واستخدام كلمة مرور فريدة، وتفعيل المصادقة متعددة العوامل حيثما أمكن. كما ينبغي التحقق من أمان حساب البريد الإلكتروني.

ينبغي للمستخدمين مراجعة خيارات استرداد الحساب، وسجل الجلسات، وقواعد إعادة التوجيه، والإشعارات المشبوهة عندما تحتوي السجلات على رقم هاتف، أو عنوان، أو موقع، أو تاريخ ميلاد، أو رسائل خاصة، أو ملف شخصي على وسائل التواصل الاجتماعي، أو معلومات مالية. وينبغي للأفراد الذين لديهم ملفات شخصية مرتبطة بمؤسسات أو متاحة للعامة أن يراعوا أيضًا مخاطر الرسائل الموجّهة والمخاطر التي قد تمسّ السمعة.

في الألعاب التي تضم مستخدمين صغار السن، يُعدّ وعي الوالدين، واستخدام كلمات مرور فريدة، والاعتياد على عدم استخدام تلميحات كلمات المرور أمورًا مهمة. وعلى المدى الطويل، يُعدّ استخدام مدير كلمات مرور، وكلمات مرور فريدة، والمصادقة متعددة العوامل، وإغلاق الحسابات القديمة، وتقليل المعلومات غير الضرورية في الملفات الشخصية من تدابير الحماية الأساسية. ولأن البيانات الشخصية الثابتة لا يمكن تغييرها، ينبغي تعزيز الممارسات الأمنية للمستخدم وإعدادات الحساب.

بالنسبة إلى المؤسسات، تُظهر هذه الحوادث ضرورة التدقيق المنتظم في عمليات الوصول إلى ملفات النسخ الاحتياطي، وصلاحيات حسابات المنتديات، وبيانات الاشتراك في النشرات الإخبارية، ومدد الاحتفاظ ببيانات العملاء، وإجراءات الإخطار. أما بالنسبة إلى المستخدمين، فإن تجنّب تكرار معلومات الهوية نفسها عبر الخدمات المختلفة، والتحقق من الرسائل غير المتوقعة عبر قناة ثانية، يوفران حماية مستدامة.

إذا انطبق هذا السجل على المستخدم، فعليه التحقق من تكرار كلمات المرور في حسابات الألعاب وحسابات البريد الإلكتروني. وإذا تبيّن وجود تطابق، فينبغي له أولًا قراءة حقول البيانات المدرجة، ثم ترتيب الخطوات حسب الأولوية بناءً عليها. فإذا وُجدت كلمة مرور، تكون الأولوية لتغييرها؛ وإذا وُجدت بيانات مالية، تكون الأولوية لمراقبة الحساب؛ وإذا وُجدت رسائل خاصة أو ملف شخصي على وسائل التواصل الاجتماعي، تكون الأولوية لمراجعة الخصوصية؛ وإذا وُجدت بيانات موقع، تكون الأولوية لتقييم الأمن المادي.

التقييم النهائي: يوثّق هذا السجل حادثة حساسة تخص حسابات لعبة، لأنه يحتوي على حقول الفئة العمرية وتلميح كلمة المرور وكلمة المرور. ينبغي للمستخدم مقارنة هذا السجل بسجل حساباته، والتحقق بصورة منفصلة من الخدمات التي يستخدم فيها البريد الإلكتروني نفسه، أو رقم الهاتف، أو اسم المستخدم، أو العنوان، أو كلمة المرور. وينبغي اعتبار عمليات البحث المشبوهة، أو رسائل البريد الإلكتروني المشبوهة، أو الرسائل المشبوهة، أو إشعارات استرداد الحساب المشبوهة أعلى خطورة بعد الحادثة.