Fuite de données chez The Club Penguin Experience

Les types de données répertoriés pour cet incident sont les suivants : tranches d’âge, adresses e-mail, indices de mot de passe, mots de passe et noms d’utilisateur. Les indices de mot de passe peuvent faciliter la découverte des mots de passe, même lorsque ceux-ci sont protégés par des valeurs de hachage robustes. Le rapprochement de plusieurs champs associés à un même utilisateur peut rendre plus convaincantes les tentatives d’attaquants reposant sur de fausses notifications, la récupération de compte, l’ingénierie sociale ou le recoupement d’identités.

Il semble que les mots de passe soient stockés sous forme de valeurs de hachage bcrypt et que certains enregistrements contiennent des indices de mot de passe en clair. Lorsque des champs tels que le mot de passe, l’indice de mot de passe, les messages privés, l’identité officielle, les informations financières, la localisation ou la photo de profil sont présents, le risque ne se limite pas aux e-mails indésirables. Même dans les enregistrements sans mot de passe, un numéro de téléphone, une adresse, une IP, une date de naissance ou des informations de profil social peuvent être utilisés pour des attaques ciblées.

Cette fiche couvre environ 6 300 comptes d’abonnés associés au domaine thecpexperience.com. L’incident relève de la catégorie des fiches vérifiées. Le périmètre a été défini après vérification distincte du nombre de comptes, du domaine, du pays, du secteur et des catégories de données. Les types de données non répertoriés n’ont pas été présentés aux utilisateurs comme s’ils étaient présents.

Le secteur a été corrigé : il s’agit des jeux de fans et des mondes virtuels, et non du commerce de détail. Dans certains cas, la réponse de l’entreprise apparaît dans différents contextes, tels qu’un service tiers, un compte de forum, une liste de diffusion ou un profil utilisateur. Ces fiches ont été distinguées individuellement, sans être dupliquées, afin de préserver le contexte réel du service concerné par l’événement.

Les utilisateurs de The Club Penguin Experience, les personnes qui emploient le même nom d’utilisateur dans d’autres jeux et les comptes dont les indices de mot de passe ont été partagés sont à risque. Pour ces utilisateurs, le principal risque tient au rapprochement possible des données divulguées avec des informations utilisées sur d’autres plateformes. Si la même adresse e-mail, le même nom d’utilisateur, le même numéro de téléphone, la même IP, la même adresse ou le même mot de passe sont réutilisés sur différents comptes, les attaquants peuvent exploiter ces identifiants communs.

Le contexte du jeu peut servir de prétexte à des messages proposant un faux renouvellement d’abonnement, des objets pour les personnages, des invitations à des événements ou une vérification de compte. Les différents contextes, tels que les forums, les jeux, les recettes de cuisine, l’hébergement, l’énergie, la billetterie événementielle, les newsletters, les réseaux sociaux et la finance, présentent des risques différents. L’utilisateur doit tenir compte non seulement des champs de données, mais aussi du service auquel ils sont associés.

Les utilisateurs concernés doivent modifier leurs mots de passe et leurs indices de mot de passe. S’ils utilisent les mêmes indices sur d’autres comptes, ils doivent également les mettre à jour. Si un mot de passe ou un indice de mot de passe a été divulgué, les utilisateurs doivent le modifier sur tous les comptes où ils utilisent un mot de passe identique ou similaire, choisir un mot de passe unique et activer l’authentification multifacteur chaque fois que cela est possible. La sécurité des comptes de messagerie doit également être vérifiée.

Lorsque les enregistrements contiennent un numéro de téléphone, une adresse, une localisation, une date de naissance, des messages privés, un profil social ou des informations financières, les utilisateurs doivent vérifier les options de récupération de compte, l’historique des sessions, les règles de transfert et les notifications suspectes. Les personnes disposant d’un profil professionnel ou accessible au public doivent également tenir compte des risques de messages ciblés et d’atteinte à leur réputation.

Dans les jeux fréquentés par de jeunes utilisateurs, la sensibilisation des parents, l’utilisation de mots de passe uniques et l’habitude de ne pas utiliser d’indices de mot de passe sont importantes. À long terme, l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification multifacteur, la fermeture des anciens comptes et la réduction des informations de profil superflues constituent des mesures de protection fondamentales. Comme les données personnelles immuables ne peuvent pas être modifiées, il faut renforcer les pratiques des utilisateurs et les paramètres de sécurité des comptes.

Pour les organisations, ces événements montrent la nécessité d’auditer régulièrement les accès aux fichiers de sauvegarde, les autorisations des comptes de forum, les données d’abonnement aux newsletters, les durées de conservation des données clients et les procédures de notification. Pour les utilisateurs, éviter de réutiliser les mêmes informations d’identité sur différents services et vérifier les messages inattendus par un second canal offre une protection durable.

Si cette fiche concerne un utilisateur, celui-ci doit vérifier s’il réutilise les mêmes mots de passe pour ses comptes de jeu et de messagerie. Si une correspondance est constatée, l’utilisateur doit d’abord lire la liste des champs de données, puis hiérarchiser les mesures à prendre en conséquence. Si un mot de passe est présent, sa modification doit être prioritaire; en présence de données financières, la surveillance des comptes doit passer en premier; en présence de messages privés ou d’un profil social, les vérifications de confidentialité doivent être prioritaires; en présence de données de localisation, la priorité doit être donnée à une évaluation de la sécurité physique.

Évaluation finale : cette fiche décrit un incident sensible touchant des comptes de jeu, car elle contient des champs relatifs à la tranche d’âge, à l’indice de mot de passe et au mot de passe. L’utilisateur doit comparer cette fiche à l’historique de ses propres comptes et vérifier séparément les services sur lesquels il utilise la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur, la même adresse ou le même mot de passe. Après cet incident, toute recherche suspecte, tout e-mail ou message suspect, ou toute notification suspecte de récupération de compte doit être considéré comme présentant un risque accru.