Filtración de datos de The Club Penguin Experience

Los tipos de datos enumerados en este incidente son: grupos de edad, direcciones de correo electrónico, pistas de contraseña, contraseñas y nombres de usuario. Las pistas de contraseña pueden facilitar que se adivinen las contraseñas, incluso si estas tienen valores hash robustos. Vincular varios campos a un mismo usuario puede hacer más convincentes los intentos de los atacantes de enviar notificaciones falsas, recuperar cuentas, recurrir a la ingeniería social o correlacionar identidades.

Al parecer, las contraseñas se almacenan como valores hash bcrypt y algunos registros contienen pistas de contraseña en texto sin formato. Si hay campos como contraseña, pista de contraseña, mensaje privado, identidad oficial, información financiera, ubicación o foto de perfil, el riesgo no se limita al correo no deseado. Incluso en registros sin contraseñas, el número de teléfono, la dirección, la IP, la fecha de nacimiento o la información del perfil en redes sociales pueden utilizarse en ataques dirigidos.

El registro abarca aproximadamente 6 300 cuentas de suscriptores asociadas al dominio thecpexperience.com. El incidente pertenece a la categoría de registros verificados. El alcance se ha descrito tras comprobar por separado el número de cuentas, el dominio, el país, el sector y las categorías de datos. No se han presentado al usuario tipos de datos no enumerados como si estuvieran presentes.

El sector se ha corregido a juegos creados por aficionados y mundos virtuales, en lugar de comercio minorista. En algunos casos, la respuesta de la empresa aparece en distintos contextos, como un servicio de terceros, una cuenta de foro, una lista de correo o un perfil de usuario. Estos registros se han separado individualmente, sin duplicarlos, y se ha conservado el contexto real del servicio relacionado con el incidente.

Están en riesgo los usuarios de The Club Penguin Experience, las personas que utilizan el mismo nombre de usuario en otros juegos y las cuentas en las que se han compartido pistas de contraseña. El principal riesgo para estos usuarios es que los datos filtrados puedan vincularse con información utilizada en otras plataformas. Si el mismo correo electrónico, nombre de usuario, número de teléfono, IP, dirección o contraseña se repite en distintas cuentas, los atacantes pueden aprovechar esos identificadores comunes.

El contexto del juego puede utilizarse en mensajes falsos sobre la renovación de membresías, objetos para personajes, invitaciones a eventos o la verificación de cuentas. Los distintos contextos, como foros, juegos, recetas, alojamiento, energía, entradas para eventos, boletines, redes sociales y finanzas, generan riesgos diferentes. El usuario debe tener en cuenta no solo los campos de datos, sino también el servicio al que están asociados.

Los usuarios afectados deben cambiar sus contraseñas y pistas de contraseña y, si utilizan las mismas pistas en otras cuentas, también deben actualizarlas. Si se ha divulgado una contraseña o una pista de contraseña, los usuarios deben cambiarla en todas las cuentas en las que utilicen la misma contraseña o una similar, usar una contraseña única y activar la autenticación multifactor siempre que sea posible. También deben revisar la seguridad de la cuenta de correo electrónico.

Cuando los registros contengan teléfono, dirección, ubicación, fecha de nacimiento, mensaje privado, perfil en redes sociales o información financiera, los usuarios deben revisar las opciones de recuperación de la cuenta, el historial de sesiones, las reglas de reenvío y las notificaciones sospechosas. Las personas con perfiles corporativos o de acceso público también deben tener en cuenta el riesgo de recibir mensajes dirigidos y los riesgos para su reputación.

En los juegos con usuarios jóvenes, son importantes la concienciación de los padres, las contraseñas únicas y el hábito de no utilizar pistas de contraseña. A largo plazo, utilizar un gestor de contraseñas, emplear contraseñas únicas, activar la autenticación multifactor, cerrar cuentas antiguas y reducir la información innecesaria del perfil son medidas de defensa fundamentales. Dado que los datos personales permanentes no pueden cambiarse, deben reforzarse las prácticas de seguridad del usuario y la configuración de las cuentas.

Para las instituciones, estos incidentes muestran la necesidad de auditar periódicamente los accesos a archivos de copia de seguridad, los permisos de las cuentas de foros, los datos de suscripción a boletines, los plazos de conservación de los datos de clientes y los procesos de notificación. Para los usuarios, no repetir la misma información de identidad en distintos servicios y verificar los mensajes inesperados por un segundo canal proporciona una protección duradera.

Si sus datos coinciden con este registro, revise si reutiliza contraseñas en sus cuentas de juegos y de correo electrónico. Si encuentra una coincidencia, lea primero qué campos de datos se enumeran y luego priorice las medidas en consecuencia. Si hay una contraseña, debe priorizar su cambio; si hay datos financieros, la supervisión de las cuentas; si hay mensajes privados o un perfil en redes sociales, la revisión de la privacidad; y si hay datos de ubicación, una evaluación de la seguridad física.

Evaluación final: Este registro corresponde a un incidente sensible relacionado con cuentas de un juego, porque contiene campos de grupo de edad, pista de contraseña y contraseña. Compare este registro con su propio historial de cuentas y revise por separado los servicios en los que utiliza el mismo correo electrónico, teléfono, nombre de usuario, dirección o contraseña. Tras el incidente, cualquier búsqueda, correo electrónico, mensaje o notificación de recuperación de cuenta que resulte sospechoso debe considerarse de mayor riesgo.