Club Penguin Rewritten (julio de 2019)

Las direcciones de correo electrónico, los nombres de usuario y las direcciones IP incluidos en este registro pueden vincular datos de contacto reales con la identidad de un jugador. Un nombre de usuario puede asociarse con la identidad dentro del juego y el perfil en la comunidad. Una dirección de correo electrónico puede utilizarse para recuperar cuentas, recibir notificaciones e iniciar sesión en otras plataformas. Una dirección IP no revela directamente una dirección física; sin embargo, puede ofrecer indicios aproximados sobre la región desde la que se realiza la conexión, el proveedor de servicios o el contexto de la sesión. Combinados, estos campos pueden hacer más convincentes los anuncios falsos del juego, las alertas de seguridad de la cuenta y los mensajes de la comunidad.

El almacenamiento de contraseñas como hashes bcrypt reduce directamente el riesgo asociado a las contraseñas en texto plano. No obstante, la reutilización de contraseñas sigue siendo un problema importante. Si un usuario ha utilizado la misma contraseña en su cuenta de correo electrónico, su cuenta del juego, sus redes sociales u otros foros de juegos, los atacantes pueden intentar adivinarla o probarla en otros servicios. Debe tenerse en cuenta la probabilidad de que los niños y los usuarios jóvenes elijan contraseñas sencillas o utilicen la misma en distintos juegos. Por ello, no solo debe revisarse la cuenta de Club Penguin Rewritten, sino también otras cuentas asociadas con la misma dirección de correo electrónico y el mismo nombre de usuario.

El número verificado de cuentas afectadas en este registro es de 4 007 909. La fecha del incidente figura como el 27 de julio de 2019. Las categorías de datos se limitan a direcciones de correo electrónico, direcciones IP, nombres de usuario y hashes de contraseñas bcrypt. La filtración anterior de Club Penguin Rewritten, de enero de 2018, debe mantenerse separada de este registro; ese incidente se asocia con aproximadamente 1,7 millones de cuentas y debe considerarse un registro independiente. El registro de julio de 2019 corresponde al incidente posterior y de mayor alcance.

En este registro no se ha verificado la presencia de nombres reales, números de teléfono, direcciones físicas, fechas de nacimiento, datos de tarjetas de pago, información bancaria, mensajes de chat ni historial de compras dentro del juego. Aunque Club Penguin Rewritten es un servicio de juego creado por aficionados, este registro solo contiene campos verificados relacionados con la identificación de la cuenta y de la sesión. La descripción no debe incluir campos no verificados, como fotografías de los usuarios, documentos de identidad reales o información financiera. El alcance correcto es el riesgo asociado al correo electrónico, el nombre de usuario, la dirección IP y el hash de la contraseña bcrypt.

Los usuarios con mayor riesgo son quienes también utilizan en otras cuentas la contraseña de Club Penguin Rewritten. Esto es especialmente importante para los usuarios jóvenes, ya que la misma contraseña puede haberse repetido en distintos juegos, cuentas de correo escolar, cuentas de redes sociales o cuentas utilizadas en dispositivos por miembros de la familia. Si la cuenta de correo electrónico se ve comprometida, los enlaces para restablecer las contraseñas de otras cuentas también pueden caer en manos de un atacante. Por ello, los padres y los usuarios deben dar prioridad a la protección de la cuenta de correo electrónico.

El segundo grupo de riesgo está formado por jugadores que también utilizan su nombre de usuario del juego en distintas plataformas. Cuando se repite el mismo nombre de usuario en foros, perfiles de redes sociales u otros juegos, existe el riesgo de que esos perfiles se vinculen entre sí. Los atacantes pueden utilizar esta información para preparar mensajes falsos de moderadores, ofertas de regalos dentro del juego o de artículos gratuitos, solicitudes de verificación de cuenta o alertas de seguridad. La dirección IP también puede hacer más convincentes estos mensajes dirigidos a usuarios de una región concreta. En las comunidades de juegos para niños, también son importantes los hábitos de comunicación segura.

La contraseña utilizada para Club Penguin Rewritten no debe usarse en ninguna otra cuenta. El usuario o sus padres deben revisar las cuentas de correo electrónico, juegos, redes sociales y del ámbito escolar en las que pueda haberse utilizado la misma contraseña, y establecer contraseñas únicas y robustas para cada una. Un gestor de contraseñas facilita este proceso. Aunque se utilice Bcrypt, las contraseñas débiles o reutilizadas pueden llegar a adivinarse con el tiempo. No es seguro reutilizar una contraseña antigua con pequeñas modificaciones.

Debe activarse la autenticación de dos factores en la cuenta de correo electrónico y deben revisarse las sesiones recientes. Se debe explicar a los niños y adolescentes que no deben hacer clic en enlaces de mensajes que aparenten proceder del administrador del juego o de un moderador, ni en los que ofrezcan artículos gratuitos, soliciten verificar la cuenta o presenten alertas de seguridad. Ningún administrador legítimo de un juego debe pedir nunca la contraseña del correo electrónico del usuario, un código de verificación u otros datos de la cuenta. Los mensajes sospechosos deben revisarse con uno de los padres o un adulto de confianza.

Las comunidades de juegos, especialmente cuando participan niños y adolescentes, no deben verse únicamente como espacios de entretenimiento. Las cuentas pueden vincularse con otras identidades digitales mediante el correo electrónico, el nombre de usuario y la contraseña. A largo plazo, debe utilizarse una contraseña distinta para cada cuenta de juego y deben mantenerse activados los controles parentales y las alertas de seguridad en las cuentas de los niños. Para proteger la privacidad, también es importante que los nombres de usuario no contengan información personal ni se repitan innecesariamente en distintas plataformas.

Para las plataformas, un método robusto de almacenamiento de contraseñas no basta por sí solo. Deben revisarse periódicamente los permisos de acceso, las cuentas de administrador, la infraestructura heredada, los registros de sesiones y los procesos de notificación de incidentes. En las comunidades dirigidas a niños, la seguridad de los usuarios y de las comunicaciones debe tener mayor prioridad. Desde la perspectiva de los usuarios, una estrategia duradera incluye contraseñas únicas, la protección de la cuenta de correo electrónico, la precaución ante mensajes sospechosos relacionados con el juego y la revisión periódica de las cuentas con el apoyo de los padres.

Una coincidencia en este registro indica que la dirección de correo electrónico correspondiente figura entre las cuentas asociadas con la filtración de datos de Club Penguin Rewritten de julio de 2019. Una coincidencia no significa que el nombre real, la dirección, la información de pago o el contenido de los chats del usuario estén incluidos en el alcance verificado de este registro. Los campos verificados son la dirección de correo electrónico, la dirección IP, el nombre de usuario y el hash de la contraseña bcrypt. Si el usuario ha utilizado la misma contraseña en otras cuentas, debe dar prioridad al cambio de contraseña en esas cuentas.

Los padres deben comprobar si los niños o los usuarios jóvenes se han registrado en otros juegos con la misma dirección de correo electrónico y el mismo nombre de usuario. No se debe responder a mensajes sospechosos relacionados con juegos, promesas de artículos gratuitos, enlaces de verificación de cuentas ni solicitudes que aparenten proceder de moderadores sin verificarlos a través del canal oficial. Tras proteger la cuenta de correo electrónico, deben revisarse las sesiones de las cuentas de juegos y redes sociales y eliminarse los enlaces desconocidos. Aunque este incidente sea antiguo, su impacto puede continuar debido a la reutilización de contraseñas.