خرق بيانات Webkinz

احتوى الملف المنشور على أسماء مستخدمي Webkinz وقيم تجزئة كلمات المرور بتنسيق MD5-Crypt. ولا تُعدّ MD5-Crypt نصًا صريحًا، كما أنها ليست مطابقة لتجزئة MD5 الخام، لكنها متقادمة وفق المعايير الحديثة لتخزين كلمات المرور، ولا توفّر مقاومة كافية لمحاولات التخمين دون اتصال بالخدمة. وإذا أمكن استعادة كلمة مرور قصيرة أو شائعة أو قابلة للتوقّع، فقد يتعرّض كل حساب آخر يستخدم كلمة المرور نفسها للخطر أيضًا. وأفادت التقارير بالحصول على قيم تجزئة عناوين البريد الإلكتروني للوالدين بصورة منفصلة، لكنها لم تكن موجودة في الملف المنشور للعموم. لذلك، لا ينبغي إضافة عناوين البريد الإلكتروني بوصفها فئة بيانات جرى التحقق منها. وقالت الشركة آنذاك إن حسابات Webkinz لم تطلب قط عناوين أو أرقام هواتف أو أسماء عائلة، وإنها لم تكن مرتبطة ببيانات حسابات eStore. ولا يوجد أساس موثّق للادعاء بأن تفاصيل الدفع أو سجلات الهوية الحقيقية ظهرت في الملف المنشور.

تشير التقارير إلى أن الاختراق وقع في أوائل أبريل 2020؛ ولأن اليوم الدقيق لم يُكشف عنه، يُستخدم 1 أبريل تاريخًا مرجعيًا للدلالة على الشهر فقط. وذكر تحقيق نُشر في 18 أبريل أن باحثين ساعدوا في الحصول على نسخة من الملف والتحقق منها، وأنها احتوت على 22,982,319 زوجًا من أسماء المستخدمين وكلمات المرور. وقالت مصادر استشهد بها ذلك التقرير إن المهاجم استغل ثغرة لحقن SQL في نموذج على موقع إلكتروني، وإن فريق Webkinz اكتشف نقطة الدخول وعالجها. وفي 19 أبريل، قالت الشركة إنها على علم بخبر عن اختراق مزعوم، وإنها تجري تحقيقًا، ونصحت المستخدمين القلقين بتغيير كلمات مرورهم. ثم صدر تحديث أمني رسمي ألزم كل لاعب بتحديث كلمة مرور حسابه مرة واحدة قبل تسجيل الدخول. ورغم أن الادعاء المتعلق بطريقة الدخول الأولي تدعمه تقارير موثوقة، لم يُعثر على تقرير مفصّل للتحليل الجنائي الرقمي أو تقرير نهائي علني عن الحادثة صادر عن الشركة.

الفئة الأكثر تأثرًا بصورة مباشرة هي اللاعبون الحاليون والسابقون الذين كان لديهم حساب Webkinz قبل أبريل 2020. وقد يواجه كل من أعاد استخدام اسم المستخدم وكلمة المرور نفسيهما في لعبة أخرى أو منصة اجتماعية أو حساب بريد إلكتروني محاولات حشو بيانات الاعتماد. ولأن قاعدة اللاعبين تشمل أطفالًا، ينبغي تغيير كلمات المرور واستعادة الحسابات بمشاركة أحد الوالدين أو الوصي. ولا يكون اسم المستخدم بالضرورة اسمًا حقيقيًا، لذا لا ينبغي ربط السجلات تلقائيًا بهوية طفل بعينه. ومع ذلك، يمكن استخدام اسم المستخدم في انتحال الشخصية داخل اللعبة أو إرسال رسائل دعم مزيفة أو محاولة الاستيلاء على الحساب. عناوين البريد الإلكتروني ليست من الحقول التي جرى التحقق منها في الملف المنشور، لذا لا ينبغي تصوير هذه الحادثة وحدها على أنها تسريب مؤكّد للبريد الإلكتروني أو مصدر لقائمة بريدية تُستخدم في التصيّد الاحتيالي.

إذا كان لديك حساب Webkinz ولم تُحدّث كلمة مروره بعد 2020، فاختر كلمة مرور جديدة وفريدة عبر شاشة تسجيل الدخول الرسمية. واستبدل كلمة المرور نفسها أو أي كلمة مشابهة لها أينما استُخدمت، مع إعطاء الأولوية لحساب البريد الإلكتروني المرتبط ومتاجر الألعاب وحسابات الوالدين. وفي حساب الطفل، أنشئ كلمة المرور الجديدة بمشاركة أحد الوالدين أو الوصي، واشرح له أنه يجب ألّا يشاركها مع أحد، وتحدّث معه عن الطلبات المزيفة التي تدّعي أنها من الدعم. وإذا فقدت إمكانية الوصول، فاستخدم قنوات الدعم الرسمية فقط؛ ولا تنشر مطلقًا كلمة مرور أو اسم حيوان أليف أو أي تفصيل يُستخدم لاستعادة الحساب في منتدى أو رسالة. وراجع الجلسات النشطة وعنوان البريد الإلكتروني المرتبط بالحساب وأي تغييرات غير متوقّعة فيه. وتعامل مع حساب eStore بصورة منفصلة: فقد قالت الشركة إنه لم يكن مرتبطًا ببيانات حسابات Webkinz، لذا لا ينبغي افتراض أن معلومات الدفع الخاصة بـ eStore موجودة في هذا الملف.

استخدام كلمة مرور مختلفة لكل خدمة يمنع امتداد الخطر من كلمة مرور لعبة جرى استعادتها إلى حسابات أخرى. ويمكن للعائلات الاحتفاظ بإدخالات منفصلة لحسابات الأطفال في مدير كلمات المرور، والتحقق دوريًا من عنوان البريد الإلكتروني المخصّص لاستعادة الحساب. وحتى إذا لم تكن Webkinz تتيح المصادقة متعددة العوامل، ففعّلها على الخدمات المهمة المرتبطة، مثل حسابات البريد الإلكتروني ومتاجر الألعاب. ولا تنسَ الحسابات القديمة؛ اطلب من الدعم الرسمي إغلاق الحسابات التي لم تعد بحاجة إليها أو حذفها. وينبغي تعليم الأطفال ألّا يعطوا كلمات المرور لأشخاص يعدونهم بهدايا داخل اللعبة أو عضويات مجانية، وأن يعرضوا الرسائل المشبوهة على شخص بالغ. أما مشغّلو الخدمات، فتوفّر لهم الاستعلامات ذات المعلمات، والأساليب الحديثة لتجزئة كلمات المرور، واختبارات الاختراق المنتظمة، وتقليل البيانات إلى الحد الضروري، والتواصل الواضح بشأن الحوادث تدابير حماية مستدامة.

لأن سجل Webkinz هذا لا يتضمّن عناوين بريد إلكتروني جرى التحقق منها، فقد لا يُظهر البحث في LeakData باستخدام البريد الإلكتروني وحده نتيجة مطابقة لـ Webkinz. ولا تثبت النتيجة الخالية أن حسابًا استُخدم قبل 2020 لم يكن موجودًا في ملف أسماء المستخدمين وكلمات المرور. والطريقة الأكثر أمانًا للتحقق هي تحديد ما إذا كان لديك حساب آنذاك، وما إذا كانت كلمة مروره القديمة لا تزال مستخدمة في أي خدمة أخرى. ولا تُدخل كلمة المرور نفسها مطلقًا في نماذج البحث أو المنتديات أو مواقع الأطراف الثالثة. وإذا كان لديك حساب Webkinz، فاستخدم المسارات الرسمية لإعادة تعيين كلمة المرور والحصول على الدعم، ثم احمِ كل حساب آخر أُعيد استخدام كلمة المرور القديمة فيه ببيانات اعتماد مستقلة وفريدة.