Filtración de datos de Webkinz

El archivo publicado contenía nombres de usuario de Webkinz y hashes de contraseñas MD5-Crypt. MD5-Crypt no guarda las contraseñas en texto en claro y no es lo mismo que MD5 sin procesar, pero está obsoleto según los estándares modernos de almacenamiento de contraseñas y ofrece una resistencia insuficiente a los intentos de adivinación sin conexión. Si se recupera una contraseña corta, común o predecible, cualquier otra cuenta que utilice la misma contraseña también puede estar en riesgo. Según las informaciones publicadas, se obtuvieron por separado valores hash de las direcciones de correo electrónico de los padres, pero estos no estaban presentes en el archivo publicado. Por ello, las direcciones de correo electrónico no deben añadirse como una categoría de datos verificada. En aquel momento, la empresa afirmó que nunca se habían solicitado direcciones, números de teléfono ni apellidos para las cuentas de Webkinz, y que estas no estaban vinculadas a los datos de las cuentas de eStore. No hay pruebas verificadas que permitan afirmar que el archivo publicado contenía datos de pago o registros de identidad del mundo real.

Las informaciones publicadas sitúan la intrusión a principios de abril de 2020; como no se reveló el día exacto, se utiliza el 1 de abril como fecha de referencia para ese mes. Una investigación publicada el 18 de abril indicó que unos investigadores habían ayudado a obtener y verificar una copia del archivo, que contenía 22 982 319 pares de nombre de usuario y contraseña. Las fuentes citadas en ese informe afirmaron que el atacante había aprovechado una vulnerabilidad de inyección SQL en un formulario del sitio web y que el personal de Webkinz había detectado y corregido el punto de entrada. El 19 de abril, la empresa declaró que conocía la noticia sobre una supuesta filtración, que estaba investigando y que recomendaba a los usuarios preocupados cambiar sus contraseñas. Posteriormente, una actualización oficial de seguridad exigió que todos los jugadores cambiaran una vez la contraseña de su cuenta antes de iniciar sesión. Aunque la afirmación sobre el método de acceso inicial está respaldada por informaciones creíbles, no se encontró ningún informe forense detallado ni un informe público final de la empresa sobre el incidente.

El grupo más directamente afectado son los jugadores actuales y antiguos que tenían una cuenta de Webkinz antes de abril de 2020. Cualquier persona que haya reutilizado el mismo nombre de usuario y contraseña en otro juego, plataforma social o cuenta de correo electrónico puede enfrentarse a intentos de acceso automatizado con credenciales reutilizadas. Dado que entre los jugadores hay niños, los cambios de contraseña y la recuperación de cuentas deben realizarse con la ayuda de un padre, una madre o un tutor. Un nombre de usuario no es necesariamente un nombre real, por lo que los registros no deben vincularse automáticamente a la identidad de un niño concreto. Aun así, un nombre de usuario puede facilitar la suplantación de identidad dentro del juego, los mensajes falsos de soporte o los intentos de tomar el control de una cuenta. Las direcciones de correo electrónico no son un campo verificado en el archivo publicado, por lo que este incidente, por sí solo, no debe presentarse como una filtración confirmada de correos electrónicos ni como una lista de direcciones para ataques de suplantación mediante correo.

Si tiene una cuenta de Webkinz y no cambió su contraseña después de 2020, elija una contraseña nueva y única a través de la pantalla oficial de inicio de sesión. Cambie esa misma contraseña, o cualquier otra similar, en todos los servicios donde la haya utilizado, dando prioridad a la cuenta de correo electrónico asociada, las tiendas de juegos y las cuentas de los padres. Si se trata de la cuenta de un niño, cree la nueva contraseña junto con un padre, una madre o un tutor, explique que no debe compartirse y hable sobre las solicitudes falsas de soporte. Si ha perdido el acceso, utilice únicamente los canales oficiales de soporte; nunca publique una contraseña, el nombre de una mascota ni datos de recuperación en un foro o mensaje. Revise las sesiones activas, la dirección de correo electrónico vinculada y los cambios inesperados en la cuenta. Trate la cuenta de eStore por separado: la empresa afirmó que no estaba vinculada a los datos de las cuentas de Webkinz, por lo que no debe suponerse que la información de pago de eStore esté en este archivo.

Una contraseña diferente para cada servicio evita que la recuperación de una contraseña del juego ponga en peligro otras cuentas. Las familias pueden mantener entradas separadas en un gestor de contraseñas para las cuentas de los niños y verificar periódicamente la dirección de correo electrónico de recuperación. Incluso si Webkinz no ofrece autenticación multifactor, actívela en servicios vinculados importantes, como las cuentas de correo electrónico y de tiendas de juegos. No se olvide de las cuentas antiguas; solicite al soporte oficial que cierre o elimine las que ya no necesite. Los niños deben aprender a no dar sus contraseñas a personas que prometan regalos dentro del juego o membresías gratuitas, y a mostrar los mensajes sospechosos a un adulto. Para los operadores de servicios, las consultas parametrizadas, los métodos modernos de hash de contraseñas, las pruebas de penetración periódicas, la minimización de datos y una comunicación clara sobre los incidentes ofrecen protección duradera.

Dado que este registro de Webkinz no incluye direcciones de correo electrónico como dato verificado, una búsqueda en LeakData basada únicamente en el correo electrónico podría no mostrar una coincidencia con Webkinz. Un resultado vacío no demuestra que una cuenta utilizada antes de 2020 estuviera ausente del archivo de nombres de usuario y contraseñas. La comprobación más segura consiste en determinar si tenía una cuenta en aquel momento y si su antigua contraseña sigue activa en algún otro servicio. Nunca introduzca la contraseña en formularios de búsqueda, foros o sitios de terceros. Si tiene una cuenta de Webkinz, utilice las vías oficiales de restablecimiento de contraseña y soporte; después, proteja cada una de las demás cuentas en las que haya reutilizado la contraseña antigua con una contraseña diferente y única.