Club Penguin Rewritten (janvier 2018)

Les catégories de données vérifiées sont les adresses e-mail, les adresses IP, les noms d’utilisateur et les mots de passe. Il a été rapporté que les mots de passe étaient stockés sous forme de hachages bcrypt; cela ne signifie pas qu’ils sont directement lisibles. Des attaquants peuvent néanmoins essayer des mots de passe faibles, courts ou réutilisés. Lorsqu’une adresse e-mail et un nom d’utilisateur sont présents ensemble, ils peuvent tenter de relier le compte de jeu à des identités sur d’autres plateformes.

Les adresses IP peuvent donner des indications sur la localisation approximative, le fournisseur d’accès à Internet et le contexte de la session. Ces données doivent être traitées avec davantage de précautions lorsqu’elles concernent des enfants et de jeunes joueurs. Les noms d’utilisateur, les adresses e-mail et les adresses IP peuvent servir à des tentatives d’ingénierie sociale reposant sur de faux messages de modérateurs, des promesses d’objets gratuits, des liens de vérification de compte ou des prétextes liés à la levée de sanctions. Cet incident ne justifie donc pas seulement un changement de mot de passe : il souligne aussi l’importance de la sensibilisation à la sécurité dans le jeu.

Cette fiche couvre 1 688 176 comptes touchés, et la date de l’incident est enregistrée comme étant le 21 janvier 2018. Les champs de données vérifiés comprennent l’adresse e-mail, l’adresse IP, le nom d’utilisateur et le hachage bcrypt du mot de passe. Il a été rapporté que les responsables de la plateforme avaient connaissance de l’incident et avaient contacté les utilisateurs concernés. Cette fiche porte sur un service indépendant recréant Club Penguin; les données ne doivent pas être considérées comme provenant du service Club Penguin original de Disney.

Cette fiche ne classe pas les données de carte de paiement, l’adresse postale, le numéro de téléphone, la date de naissance, le contenu des messages privés ou le nom réel parmi les données vérifiées. Elle ne couvre pas non plus l’incident distinct de Club Penguin Rewritten survenu en juillet 2019. Bien que les deux incidents apparaissent sous le même nom de marque, ils doivent être examinés séparément, avec leurs dates et leurs périmètres respectifs. Cette distinction est importante pour éviter de donner l’impression de fiches en double et pour permettre à l’utilisateur de bien comprendre à quel incident correspond le résultat obtenu.

Les utilisateurs les plus exposés sont ceux qui ont réutilisé le mot de passe de leur compte Club Penguin Rewritten pour d’autres jeux, leur messagerie, leurs réseaux sociaux ou leurs comptes sur des forums. Les comptes de jeu étant souvent gérés par des enfants ou des adolescents, les mots de passe choisis peuvent être simples ou réutilisés sur plusieurs services. Pour les comptes créés avec l’adresse e-mail d’un parent, le risque peut aussi s’étendre au compte familial, puisque les réinitialisations de mot de passe et les notifications de sécurité passent par la messagerie.

La connaissance du nom d’utilisateur peut faciliter l’usurpation de l’identité dans le jeu ou une fraude à la récupération de compte. Une adresse IP ne révèle pas l’adresse exacte; toutefois, les indications sur la région approximative et le fournisseur d’accès peuvent rendre des messages ciblés plus convaincants. Les enfants peuvent être plus vulnérables aux promesses d’objets gratuits, de comptes rares, de privilèges de modérateur ou de levée de bannissement. Les parents et les titulaires de comptes doivent donc agir ensemble.

Si vous constatez une correspondance dans cette fiche, changez le mot de passe de votre compte Club Penguin Rewritten ainsi que ceux de tous les autres comptes utilisant un mot de passe identique ou similaire. Sécurisez en priorité votre compte de messagerie, activez l’authentification multifacteur et vérifiez les sessions suspectes. Si le compte était utilisé par un enfant, le parent doit également vérifier si des mots de passe sont réutilisés entre la messagerie, les comptes de jeu et les comptes sur les réseaux sociaux.

Ne considérez pas d’emblée comme fiables les messages de vérification de compte reçus dans le jeu ou par e-mail, les offres d’abonnement gratuit, les récompenses sous forme d’objets, les propositions de levée de sanctions, les invitations à devenir modérateur ou les alertes de sécurité. Vérifiez le nom de domaine avant d’ouvrir un lien et, si possible, effectuez les démarches en vous rendant directement à l’adresse connue du site. Le fait qu’une personne connaisse votre nom d’utilisateur et des informations sur votre historique de jeu ne la rend pas digne de confiance. Ne communiquez en aucun cas à des tiers vos codes de vérification, vos nouveaux mots de passe, l’accès à votre messagerie ou vos informations de récupération de compte.

L’incident de Club Penguin Rewritten montre que la sécurité des comptes exige une attention particulière dans les communautés de jeu où sont présents des enfants et de jeunes utilisateurs. Les parents doivent veiller à ce que leurs enfants utilisent un mot de passe unique pour chaque compte de jeu et à ce que les comptes importants soient gérés à l’aide d’adresses e-mail sécurisées dont ils gardent le contrôle. Un gestionnaire de mots de passe facilite la création de mots de passe uniques pour les différents jeux et réseaux sociaux. Si d’anciens comptes de jeu ne sont plus utilisés, il convient de les fermer ou de réduire au minimum les informations personnelles qu’ils contiennent.

Une stratégie à long terme ne se limite pas aux mesures techniques. Il faut expliquer clairement aux enfants les risques liés aux escroqueries dans le jeu, aux faux messages de modérateurs, aux promesses d’objets gratuits et au partage de comptes. Si les mêmes noms d’utilisateur servent sur d’autres plateformes, il faut garder à l’esprit que des attaquants pourraient relier les profils entre eux. D’anciennes fuites contenant des adresses IP et des adresses e-mail peuvent rendre de futurs messages ciblés plus crédibles; les communications suspectes doivent donc être vérifiées par un autre canal.

Une correspondance dans cette fiche indique que l’adresse e-mail concernée est associée à l’un des comptes recensés dans la fuite de données de Club Penguin Rewritten de janvier 2018. Cette correspondance ne renvoie pas à l’incident distinct de juillet 2019 et ne doit pas être considérée comme portant sur des données du service Club Penguin original de Disney. Le périmètre vérifié de cette fiche se limite à l’adresse e-mail, à l’adresse IP, au nom d’utilisateur et au hachage bcrypt du mot de passe.

L’utilisateur ou le parent doit d’abord cesser de réutiliser les mêmes mots de passe, renforcer la sécurité du compte de messagerie et se méfier des faux messages qui reprennent le même nom d’utilisateur sur les comptes de jeu. Si d’anciens mots de passe de jeu sont encore utilisés sur d’autres plateformes, ils doivent être changés immédiatement. S’il s’agit du compte d’un enfant, le parent doit vérifier les options de récupération du compte, fermer les anciens comptes et expliquer à l’enfant des règles de sécurité courtes mais claires sur le partage de comptes et les faux messages promettant des récompenses.