Club Penguin Rewritten (enero de 2018)

Las categorías de datos verificadas son direcciones de correo electrónico, direcciones IP, nombres de usuario y contraseñas. Según lo informado, el campo de contraseña estaba en formato de hash bcrypt; esto no significa que la contraseña esté disponible en un formato directamente legible. Aun así, los atacantes pueden intentar adivinar contraseñas débiles, cortas o reutilizadas. Cuando una dirección de correo electrónico aparece junto a un nombre de usuario, los atacantes pueden intentar vincular la cuenta del juego con identidades en otras plataformas.

Las direcciones IP pueden aportar indicios sobre la ubicación aproximada, el proveedor de servicios de internet y el contexto de la sesión. Cuando se trata de niños y jóvenes, estos datos deben manejarse con especial cuidado. La información de nombre de usuario, correo electrónico e IP puede utilizarse en intentos de ingeniería social mediante mensajes falsos de moderadores, promesas de objetos gratuitos, enlaces de verificación de cuentas o pretextos para eliminar sanciones. Por ello, la importancia del incidente no se limita al cambio de contraseña como medida técnica: también exige concienciación sobre la seguridad dentro del juego.

Este registro abarca 1 688 176 cuentas afectadas y consigna el 21 de enero de 2018 como fecha del incidente. Los campos de datos verificados incluyen la dirección de correo electrónico, la dirección IP, el nombre de usuario y el hash bcrypt de la contraseña. Se ha informado de que los responsables de la plataforma conocían el incidente y contactaron con los usuarios afectados. El registro corresponde a un servicio independiente que recrea Club Penguin; no debe interpretarse como una filtración de datos del servicio original Club Penguin de Disney.

Este registro no incluye entre los datos verificados las tarjetas de pago, las direcciones físicas, los números de teléfono, las fechas de nacimiento, el contenido de mensajes privados ni los nombres reales. Tampoco abarca el incidente independiente de Club Penguin Rewritten ocurrido en julio de 2019. Aunque ambos incidentes aparecen bajo la misma marca, deben evaluarse con fechas y alcances distintos. Esta distinción es importante para evitar que se perciban como registros duplicados y para que el usuario comprenda correctamente a qué incidente corresponde la coincidencia.

Los usuarios con mayor riesgo son quienes han utilizado la misma contraseña de su cuenta de Club Penguin Rewritten en otros juegos o en cuentas de correo electrónico, redes sociales o foros. Como las cuentas de juego suelen estar gestionadas por niños o adolescentes, es posible que elijan contraseñas sencillas o las repitan en varios sitios. En las cuentas abiertas con la dirección de correo electrónico de uno de los padres, el riesgo también puede extenderse a la cuenta familiar, ya que los restablecimientos de contraseña y las notificaciones de seguridad se gestionan por correo electrónico.

Conocer el nombre de usuario puede facilitar que un atacante suplante la identidad dentro del juego o cometa fraude mediante los procesos de recuperación de cuentas. La dirección IP no proporciona la dirección exacta; sin embargo, la información sobre la región aproximada y el proveedor puede hacer que los mensajes dirigidos parezcan más convincentes. Los niños que juegan pueden ser más vulnerables a promesas de objetos gratuitos, cuentas poco comunes, privilegios de moderador o eliminación de bloqueos. Por ello, los padres y los titulares de las cuentas deben actuar conjuntamente.

Si encuentra una coincidencia en este registro, debe cambiar la contraseña de su cuenta de Club Penguin Rewritten y la de cualquier otra cuenta que utilice la misma contraseña o una similar. Debe dar prioridad a proteger la cuenta de correo electrónico, activar la autenticación multifactor y revisar las sesiones sospechosas. Si la cuenta la utilizaba un niño, uno de sus padres también debe revisar la reutilización de contraseñas en la cuenta de correo electrónico, las cuentas de juegos y las de redes sociales.

No dé por fiables los mensajes de verificación de cuentas recibidos dentro del juego o por correo electrónico, las ofertas de membresía gratuita, las recompensas de objetos, las propuestas de eliminación de sanciones, las solicitudes para convertirse en moderador ni los mensajes de alerta de seguridad. Compruebe el nombre de dominio antes de abrir cualquier enlace y, si es posible, realice las gestiones accediendo directamente a la dirección conocida. Que una persona conozca su nombre de usuario y datos anteriores del juego no la convierte en alguien de confianza. Bajo ninguna circunstancia comparta con terceros códigos de verificación, contraseñas nuevas, acceso al correo electrónico ni información de recuperación de cuentas.

El incidente de Club Penguin Rewritten muestra que la seguridad de las cuentas requiere especial atención en las comunidades de juegos en las que participan niños y jóvenes. Los padres deben asegurarse de que los niños utilicen contraseñas únicas para sus cuentas de juego y de que las cuentas importantes se gestionen mediante direcciones de correo electrónico seguras bajo el control de los padres. Un gestor de contraseñas facilita la generación de contraseñas únicas para distintos juegos y plataformas sociales. Si las cuentas antiguas de juegos ya no se utilizan, deben cerrarse o reducirse al mínimo los datos personales que contienen.

La estrategia a largo plazo no se limita a las medidas técnicas. Debe explicarse con claridad a los niños cómo funcionan los fraudes dentro del juego, los mensajes falsos de moderadores y las promesas de objetos gratuitos, así como los riesgos de compartir cuentas. Si los nombres de usuario también se utilizan en otras plataformas, hay que tener presente que los atacantes podrían relacionar los perfiles. Las filtraciones antiguas que contienen direcciones IP y datos de correo electrónico pueden hacer que futuros mensajes dirigidos parezcan más creíbles; por ello, las comunicaciones sospechosas deben verificarse por un canal independiente.

Una coincidencia en este registro indica que la dirección de correo electrónico correspondiente figura entre las cuentas identificadas en la filtración de datos de Club Penguin Rewritten de enero de 2018. La coincidencia no equivale a una coincidencia en el incidente independiente de julio de 2019 ni debe interpretarse como datos del servicio original Club Penguin de Disney. El alcance verificado de este registro se limita a la dirección de correo electrónico, la dirección IP, el nombre de usuario y el hash bcrypt de la contraseña.

El usuario o uno de sus padres debe, en primer lugar, dejar de reutilizar contraseñas, reforzar la seguridad de la cuenta de correo electrónico y tener cuidado con los mensajes falsos que utilicen el mismo nombre de usuario de las cuentas de juego. Si las contraseñas antiguas de los juegos se utilizan en otras plataformas, deben cambiarse de inmediato. Si la cuenta pertenece a un niño, uno de sus padres debe revisar las opciones de recuperación, cerrar las cuentas antiguas y explicarle reglas de seguridad breves y claras sobre el uso compartido de cuentas y los mensajes de recompensas falsas.