Fuite de données chez Webkinz

Le fichier publié contenait des noms d’utilisateur Webkinz et des empreintes de mots de passe MD5-Crypt. MD5-Crypt n’est pas du texte en clair et n’est pas identique au MD5 brut, mais il est obsolète au regard des normes actuelles de stockage des mots de passe et n’offre pas une résistance suffisante aux tentatives de cassage de mots de passe hors ligne. Si un mot de passe court, courant ou prévisible est retrouvé, tous les autres comptes utilisant ce même mot de passe peuvent également être menacés. Selon les informations publiées, des empreintes d’adresses e-mail de parents avaient été obtenues séparément, mais ne figuraient pas dans le fichier rendu public. Les adresses e-mail ne doivent donc pas être ajoutées aux catégories de données dont la présence est vérifiée. À l’époque, l’entreprise déclarait qu’aucune adresse, aucun numéro de téléphone ni aucun nom de famille n’avait jamais été demandé pour les comptes Webkinz et que ceux-ci n’étaient pas liés aux données des comptes eStore. Aucun élément vérifié ne permet d’affirmer que des données de paiement ou des données d’identité réelle figuraient dans le fichier publié.

Selon les informations publiées, l’intrusion remonte au début d’avril 2020; aucun jour précis n’ayant été communiqué, le 1er avril est utilisé comme date de référence pour ce mois. Une enquête publiée le 18 avril indiquait que des chercheurs avaient contribué à obtenir et à vérifier une copie du fichier, qui contenait 22 982 319 paires de noms d’utilisateur et de mots de passe. Les sources citées dans cette enquête affirmaient que l’attaquant avait exploité une faille d’injection SQL dans un formulaire du site web et que les équipes de Webkinz avaient détecté et corrigé la faille servant de point d’entrée. Le 19 avril, l’entreprise déclarait avoir connaissance d’informations faisant état d’une fuite présumée, mener une enquête et conseiller aux utilisateurs inquiets de changer leur mot de passe. Une mise à jour de sécurité officielle a ensuite imposé à chaque joueur de modifier une fois le mot de passe de son compte avant de se connecter. Bien que les affirmations concernant l’accès initial soient étayées par des sources journalistiques crédibles, aucun rapport d’analyse forensique détaillé ni rapport public définitif de l’entreprise sur l’incident n’a été trouvé.

Les personnes les plus directement touchées sont les joueurs actuels et anciens qui possédaient un compte Webkinz avant avril 2020. Toute personne ayant réutilisé le même nom d’utilisateur et le même mot de passe sur un autre jeu, un réseau social ou un compte de messagerie peut subir des tentatives de connexion automatisées à l’aide de ces identifiants. Comme il y a des enfants parmi les joueurs, les changements de mot de passe et la récupération de compte doivent être effectués avec un parent ou un responsable légal. Un nom d’utilisateur n’est pas nécessairement un nom réel : les données ne doivent donc pas être automatiquement rattachées à l’identité d’un enfant précis. Un nom d’utilisateur peut néanmoins faciliter une usurpation d’identité dans le jeu, de faux messages d’assistance ou des tentatives de prise de contrôle du compte. La présence d’adresses e-mail dans le fichier publié n’a pas été vérifiée : cet incident ne doit donc pas, à lui seul, être présenté comme une fuite confirmée d’adresses e-mail ou comme une source de listes d’adresses pour l’hameçonnage.

Si vous possédez un compte Webkinz et n’avez pas modifié son mot de passe après 2020, choisissez un nouveau mot de passe unique depuis l’écran de connexion officiel. Remplacez ce mot de passe, ou toute variante similaire, partout où vous l’avez utilisé, en donnant la priorité au compte de messagerie associé, aux boutiques de jeux et aux comptes des parents. Pour le compte d’un enfant, créez le nouveau mot de passe avec un parent ou un responsable légal, expliquez qu’il ne doit pas être partagé et abordez la question des fausses demandes d’assistance. Si vous avez perdu l’accès au compte, utilisez uniquement les canaux d’assistance officiels; ne publiez jamais de mot de passe, de nom d’animal ou d’information de récupération sur un forum ou dans un message. Vérifiez les sessions actives, l’adresse e-mail rattachée au compte et toute modification inattendue de celui-ci. Traitez le compte eStore séparément : l’entreprise déclarait qu’il n’était pas lié aux données des comptes Webkinz, il ne faut donc pas supposer que les informations de paiement eStore figurent dans ce fichier.

Utiliser un mot de passe différent pour chaque service empêche qu’un mot de passe de jeu retrouvé ne permette d’accéder à d’autres comptes. Les familles peuvent conserver des entrées distinctes dans un gestionnaire de mots de passe pour les comptes des enfants et vérifier régulièrement l’adresse e-mail de récupération. Même si Webkinz ne propose pas d’authentification multifacteur, activez-la sur les services importants associés, comme la messagerie et les comptes des boutiques de jeux. N’oubliez pas les anciens comptes; demandez à l’assistance officielle de fermer ou de supprimer ceux dont vous n’avez plus besoin. Les enfants doivent apprendre à ne pas communiquer leurs mots de passe à des personnes promettant des cadeaux dans le jeu ou des abonnements gratuits, et à montrer les messages suspects à un adulte. Pour les exploitants de services, les requêtes paramétrées, le hachage moderne des mots de passe, les tests d’intrusion réguliers, la minimisation des données et une communication claire sur les incidents constituent des protections durables.

Comme la présence d’adresses e-mail n’est pas vérifiée dans les données de cet incident Webkinz, une recherche LeakData portant uniquement sur une adresse e-mail peut ne pas faire apparaître de correspondance avec Webkinz. L’absence de résultat ne prouve pas qu’un compte utilisé avant 2020 était absent du fichier de noms d’utilisateur et de mots de passe. La vérification la plus sûre consiste à déterminer si vous possédiez un compte à l’époque et si son ancien mot de passe est toujours utilisé sur un autre service. Ne saisissez jamais le mot de passe lui-même dans des formulaires de recherche, sur des forums ou sur des sites tiers. Si vous possédez un compte Webkinz, utilisez les procédures officielles de réinitialisation du mot de passe et les canaux d’assistance officiels, puis protégez chacun des autres comptes qui réutilisaient l’ancien mot de passe avec un mot de passe distinct et unique.