Club Penguin Rewritten (juillet 2019)

Les adresses e-mail, les noms d’utilisateur et les adresses IP figurant dans cette fiche peuvent permettre de relier des coordonnées réelles à l’identité d’un joueur. Un nom d’utilisateur peut être associé à son identité dans le jeu et à son profil au sein de la communauté. Une adresse e-mail peut servir à récupérer un compte, à recevoir des notifications et à se connecter à d’autres plateformes. Une adresse IP ne révèle pas directement une adresse physique; elle peut toutefois donner des indications approximatives sur la région de connexion, le fournisseur d’accès ou le contexte de la session. Combinées, ces données peuvent rendre plus convaincants de fausses annonces concernant le jeu, de fausses alertes de sécurité des comptes et de faux messages communautaires.

Le stockage des mots de passe sous forme d’empreintes bcrypt réduit directement le risque lié aux mots de passe en clair. La réutilisation des mots de passe reste néanmoins un problème important. Si un utilisateur a employé le même mot de passe pour sa messagerie, son compte de jeu, ses réseaux sociaux ou d’autres forums de jeux, des attaquants peuvent tenter de le deviner ou de l’essayer sur d’autres services. Il faut tenir compte de la possibilité que les enfants et les jeunes utilisateurs choisissent des mots de passe simples ou utilisent le même mot de passe pour plusieurs jeux. Il convient donc de vérifier non seulement le compte Club Penguin Rewritten, mais aussi les autres comptes associés à la même adresse e-mail et au même nom d’utilisateur.

Le nombre vérifié de comptes touchés dans cette fiche est de 4 007 909. La date indiquée pour l’incident est le 27 juillet 2019. Les catégories de données se limitent aux adresses e-mail, aux adresses IP, aux noms d’utilisateur et aux empreintes bcrypt des mots de passe. La précédente violation de données de Club Penguin Rewritten, survenue en janvier 2018, doit rester distincte de cette fiche; cet incident plus ancien est associé à environ 1,7 million de comptes et doit faire l’objet d’une fiche séparée. L’incident de juillet 2019 est le plus récent et le plus important des deux.

Cette fiche ne permet pas de considérer les noms réels, les numéros de téléphone, les adresses physiques, les dates de naissance, les cartes de paiement, les informations bancaires, les messages de discussion ou l’historique des achats dans le jeu comme des catégories de données vérifiées. Bien que Club Penguin Rewritten soit un service de jeu créé par des fans, cette fiche ne contient que des champs vérifiés liés aux identifiants de compte et de session. La description ne doit pas inclure de champs non vérifiés, tels que les photos des utilisateurs, leurs documents d’identité réels ou leurs informations financières. Le périmètre à retenir est celui des risques liés aux adresses e-mail, aux noms d’utilisateur, aux adresses IP et aux empreintes bcrypt des mots de passe.

Les utilisateurs les plus exposés sont ceux qui emploient leur mot de passe Club Penguin Rewritten sur d’autres comptes. Ce point est particulièrement important pour les jeunes utilisateurs, car le même mot de passe peut avoir été réutilisé pour différents jeux, des messageries scolaires, des comptes de réseaux sociaux ou des comptes utilisés sur des appareils par des membres de la famille. Si le compte de messagerie est compromis, les liens de réinitialisation des mots de passe d’autres comptes peuvent également tomber entre les mains d’un attaquant. Les parents et les utilisateurs doivent donc protéger le compte de messagerie en priorité.

Le deuxième groupe à risque est constitué des joueurs qui utilisent aussi leur nom d’utilisateur du jeu sur d’autres plateformes. La réutilisation du même nom d’utilisateur sur des forums, des profils de réseaux sociaux ou d’autres jeux crée un risque de rapprochement entre les profils. Les attaquants peuvent exploiter ces informations pour préparer de faux messages de modérateurs, des offres de cadeaux dans le jeu ou d’objets gratuits, ainsi que de faux messages de vérification de compte ou d’alerte de sécurité. L’adresse IP peut aussi rendre ce ciblage plus convaincant à l’échelle régionale. Dans les communautés de jeu destinées aux enfants, des habitudes de communication sûres sont également importantes.

Le mot de passe utilisé pour Club Penguin Rewritten ne doit être utilisé sur aucun autre compte. L’utilisateur ou le parent doit vérifier les comptes de messagerie, de jeu, de réseaux sociaux et les comptes scolaires sur lesquels le même mot de passe a pu être employé, puis définir un mot de passe unique et robuste pour chacun. Un gestionnaire de mots de passe facilite cette démarche. Même lorsque Bcrypt est utilisé, les mots de passe faibles ou réutilisés peuvent finir par être devinés. Réutiliser un ancien mot de passe en y apportant de petites modifications n’est pas sûr.

Il convient d’activer l’authentification à deux facteurs sur le compte de messagerie et de vérifier les sessions récentes. Les enfants et les adolescents doivent être avertis de ne pas cliquer sur les liens contenus dans des messages qui semblent provenir d’un administrateur ou d’un modérateur du jeu, proposent un objet gratuit, demandent une vérification de compte ou signalent une alerte de sécurité. Un véritable administrateur du jeu ne doit jamais demander le mot de passe de messagerie de l’utilisateur, son code de vérification ou toute autre information relative au compte de l’utilisateur. Les messages suspects doivent être examinés avec un parent ou un adulte de confiance.

Les communautés de jeu, en particulier lorsqu’elles accueillent des enfants et des adolescents, ne doivent pas être considérées uniquement comme des espaces de divertissement. Les comptes peuvent être reliés à d’autres identités numériques par l’adresse e-mail, le nom d’utilisateur et le mot de passe. À long terme, il convient d’utiliser un mot de passe différent pour chaque compte de jeu et de maintenir le contrôle parental et les alertes de sécurité activés sur les comptes des enfants. Pour préserver la vie privée, il est également important que les noms d’utilisateur ne contiennent pas d’informations personnelles et ne soient pas réutilisés sans nécessité sur différentes plateformes.

Du côté des plateformes, une méthode robuste de stockage des mots de passe ne suffit pas à elle seule. Les droits d’accès, les comptes administrateurs, les infrastructures anciennes, les journaux de session et les procédures de signalement des incidents doivent être vérifiés régulièrement. Dans les communautés destinées aux enfants, la sécurité des utilisateurs et des communications doit être une priorité accrue. Pour les utilisateurs, une stratégie durable repose sur des mots de passe uniques, la sécurité du compte de messagerie, la vigilance face aux messages suspects concernant le jeu et des vérifications régulières des comptes avec l’aide des parents.

Une correspondance trouvée dans cette fiche indique que l’adresse e-mail concernée figure parmi les comptes associés à la violation de données de Club Penguin Rewritten de juillet 2019. Elle ne signifie pas que le nom réel de l’utilisateur, son adresse, ses informations de paiement ou le contenu de ses discussions font partie du périmètre vérifié de cette fiche. Les champs vérifiés sont l’adresse e-mail, l’adresse IP, le nom d’utilisateur et l’empreinte bcrypt du mot de passe. Si l’utilisateur a employé le même mot de passe sur d’autres comptes, les mots de passe de ces comptes doivent être modifiés en priorité.

Les parents doivent vérifier si les enfants ou les jeunes utilisateurs se sont inscrits à d’autres jeux avec la même adresse e-mail et le même nom d’utilisateur. Il ne faut pas donner suite aux messages suspects concernant le jeu, aux promesses d’objets gratuits, aux liens de vérification de compte ou aux demandes qui semblent provenir de modérateurs sans les avoir vérifiés par le canal officiel. Après avoir sécurisé le compte de messagerie, il convient d’examiner les sessions des comptes de jeu et de réseaux sociaux et de supprimer les liens inconnus. Même si cet incident est ancien, ses effets peuvent perdurer en raison de la réutilisation des mots de passe.