Club Penguin Rewritten (जनवरी 2018)

सत्यापित डेटा श्रेणियों में ईमेल पते, IP पते, यूज़रनेम और पासवर्ड शामिल हैं। पासवर्ड फ़ील्ड के bcrypt हैश प्रारूप में होने की जानकारी दी गई है; इसका मतलब यह नहीं है कि पासवर्ड सीधे पढ़े जा सकने वाले रूप में उपलब्ध है। फिर भी, हमलावर कमज़ोर, छोटे या दोबारा इस्तेमाल किए गए पासवर्ड आजमा सकते हैं। ईमेल पता और यूज़रनेम एक साथ मिलने पर हमलावर गेम खाते को दूसरे प्लेटफ़ॉर्म पर मौजूद पहचान से जोड़ने की कोशिश कर सकते हैं।

IP पते से अनुमानित स्थान, इंटरनेट सेवा प्रदाता और सत्र से जुड़ी परिस्थितियों के बारे में संकेत मिल सकते हैं। बच्चों और युवा खिलाड़ियों के मामले में इस डेटा को अधिक सावधानी से सँभालना चाहिए। यूज़रनेम, ईमेल और IP की जानकारी का इस्तेमाल सोशल इंजीनियरिंग के प्रयासों में किया जा सकता है, जैसे मॉडरेटर के नाम से नकली संदेश भेजना, मुफ़्त आइटम का वादा करना, खाता सत्यापन के लिंक भेजना या दंड हटाने का बहाना बनाना। इसलिए इस घटना के संदर्भ में केवल तकनीकी तौर पर पासवर्ड बदलना ही नहीं, बल्कि गेम के भीतर सुरक्षा के प्रति जागरूकता भी महत्वपूर्ण है।

इस रिकॉर्ड में 16,88,176 प्रभावित खाते शामिल हैं और घटना की तारीख 21 जनवरी 2018 दर्ज है। सत्यापित डेटा फ़ील्ड में ईमेल पता, IP पता, यूज़रनेम और bcrypt पासवर्ड हैश शामिल हैं। बताया गया है कि प्लेटफ़ॉर्म के अधिकारियों को घटना की जानकारी थी और उन्होंने प्रभावित उपयोगकर्ताओं से संपर्क किया था। यह रिकॉर्ड Club Penguin के स्वतंत्र रूप से बनाए गए रीमेक की सेवा से जुड़ा है; इसे Disney की मूल Club Penguin सेवा का अपना डेटा नहीं माना जाना चाहिए।

यह रिकॉर्ड भुगतान कार्ड, भौतिक पता, फ़ोन नंबर, जन्मतिथि, निजी संदेशों की सामग्री या असली नाम को सत्यापित डेटा की श्रेणी में नहीं रखता है। इसके अलावा, जुलाई 2019 में हुई Club Penguin Rewritten की अलग घटना इस रिकॉर्ड के दायरे में नहीं आती। हालाँकि दोनों घटनाएँ एक ही ब्रांड नाम के अंतर्गत दिखाई देती हैं, उनका मूल्यांकन अलग-अलग तारीखों और अलग-अलग दायरों के आधार पर किया जाना चाहिए। यह अंतर इसलिए महत्वपूर्ण है कि रिकॉर्ड दोहराए जाने का भ्रम न हो और उपयोगकर्ता सही ढंग से समझ सके कि उसकी जानकारी किस घटना से मेल खाती है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जिन्होंने अपने Club Penguin Rewritten खाते वाला पासवर्ड दूसरे गेम, ईमेल, सोशल मीडिया या फ़ोरम खातों में भी इस्तेमाल किया है। चूँकि गेम खातों का प्रबंधन अक्सर बच्चे या किशोर करते हैं, इसलिए सरल पासवर्ड चुने जा सकते हैं या एक ही पासवर्ड कई जगह इस्तेमाल किया जा सकता है। अभिभावक के ईमेल पते से खोले गए खातों के मामले में जोखिम परिवार के खाते तक भी पहुँच सकता है, क्योंकि पासवर्ड रीसेट और सुरक्षा सूचनाओं का प्रबंधन ईमेल के ज़रिए होता है।

यूज़रनेम की जानकारी होने से हमलावर के लिए गेम में खुद को उस उपयोगकर्ता के रूप में पेश करना या खाता रिकवरी में धोखाधड़ी करना आसान हो सकता है। IP पते की जानकारी सटीक पता नहीं बताती; हालाँकि अनुमानित क्षेत्र और सेवा प्रदाता की जानकारी से लक्षित संदेशों को अधिक विश्वसनीय दिखाने में मदद मिल सकती है। बच्चे मुफ़्त आइटम, दुर्लभ खाते, मॉडरेटर अधिकार या प्रतिबंध हटाने जैसे वादों के झाँसे में अधिक आसानी से आ सकते हैं। इसलिए अभिभावकों और खाताधारकों को मिलकर कदम उठाने की ज़रूरत है।

जिस उपयोगकर्ता को इस रिकॉर्ड से अपनी जानकारी मेल खाने का पता चले, उसे अपने Club Penguin Rewritten खाते का पासवर्ड और उन सभी दूसरे खातों के पासवर्ड बदलने चाहिए जिनमें वही या उससे मिलता-जुलता पासवर्ड इस्तेमाल किया गया है। ईमेल खाते को सुरक्षित करना प्राथमिकता होनी चाहिए, बहु-कारक प्रमाणीकरण चालू करना चाहिए और संदिग्ध सत्रों की जाँच करनी चाहिए। अगर खाते का इस्तेमाल कोई बच्चा करता था, तो अभिभावक को ईमेल खाते, गेम खातों और सोशल मीडिया खातों में एक ही पासवर्ड के दोबारा इस्तेमाल की भी जाँच करनी चाहिए।

गेम के भीतर या ईमेल से मिलने वाले खाता सत्यापन संदेशों, मुफ़्त सदस्यता के प्रस्तावों, आइटम पुरस्कारों, दंड हटाने के प्रस्तावों, मॉडरेटर बनने के आवेदन या सुरक्षा चेतावनी संदेशों पर बिना जाँच भरोसा नहीं करना चाहिए। कोई भी लिंक खोलने से पहले डोमेन नाम जाँचना चाहिए और जहाँ संभव हो, सीधे ज्ञात वेब पते पर जाकर कार्रवाई करनी चाहिए। आपका यूज़रनेम और गेम से जुड़ी आपकी पिछली जानकारी जानने वाला व्यक्ति भरोसेमंद नहीं है। किसी भी परिस्थिति में सत्यापन कोड, नए पासवर्ड, ईमेल तक पहुँच या खाता रिकवरी की जानकारी तीसरे पक्ष के साथ साझा नहीं करनी चाहिए।

Club Penguin Rewritten की घटना दिखाती है कि बच्चों और युवा उपयोगकर्ताओं वाले गेमिंग समुदायों में खाते की सुरक्षा पर विशेष ध्यान देना ज़रूरी है। अभिभावकों को सुनिश्चित करना चाहिए कि बच्चे अपने हर गेम खाते के लिए अलग पासवर्ड इस्तेमाल करें और महत्वपूर्ण खातों का प्रबंधन अभिभावकों के नियंत्रण वाले सुरक्षित ईमेल पतों के ज़रिए हो। पासवर्ड मैनेजर का इस्तेमाल करने से अलग-अलग गेम और सोशल प्लेटफ़ॉर्म के लिए अलग पासवर्ड बनाना आसान होता है। अगर पुराने गेम खातों का इस्तेमाल नहीं हो रहा है, तो उन्हें बंद कर देना चाहिए या उनमें मौजूद निजी जानकारी न्यूनतम रखनी चाहिए।

दीर्घकालिक रणनीति केवल तकनीकी उपायों तक सीमित नहीं है। बच्चों को गेम के भीतर होने वाली धोखाधड़ी, मॉडरेटर के नाम से आने वाले नकली संदेशों, मुफ़्त आइटम के वादों और खाता साझा करने के जोखिमों के बारे में स्पष्ट रूप से बताना चाहिए। अगर वही यूज़रनेम दूसरे प्लेटफ़ॉर्म पर भी इस्तेमाल होते हैं, तो यह नहीं भूलना चाहिए कि हमलावर प्रोफ़ाइलों को आपस में जोड़ सकते हैं। IP पते और ईमेल डेटा वाले पुराने लीक भविष्य के लक्षित संदेशों को अधिक वास्तविक दिखा सकते हैं; इसलिए संदिग्ध संदेशों की पुष्टि किसी अलग माध्यम से करनी चाहिए।

इस रिकॉर्ड में मिलान मिलने का मतलब है कि संबंधित ईमेल पता उन खातों से जुड़ा है जो जनवरी 2018 के Club Penguin Rewritten डेटा लीक में सामने आए थे। इस मिलान का अर्थ जुलाई 2019 की अलग घटना से मिलान मिलने जैसा नहीं है और इसे Disney की मूल Club Penguin सेवा का डेटा नहीं माना जाना चाहिए। इस रिकॉर्ड का सत्यापित दायरा ईमेल पते, IP पते, यूज़रनेम और bcrypt पासवर्ड हैश तक सीमित है।

उपयोगकर्ता या अभिभावक को सबसे पहले एक ही पासवर्ड का दोबारा इस्तेमाल बंद करना चाहिए, ईमेल खाते की सुरक्षा मज़बूत करनी चाहिए और गेम खातों पर उसी यूज़रनेम के साथ आने वाले नकली संदेशों से सावधान रहना चाहिए। अगर पुराने गेम पासवर्ड दूसरे प्लेटफ़ॉर्म पर इस्तेमाल हो रहे हैं, तो उन्हें तुरंत बदल देना चाहिए। अगर खाता किसी बच्चे का है, तो अभिभावक को खाता रिकवरी के विकल्पों की जाँच करनी चाहिए, पुराने खाते बंद करने चाहिए और खाता साझा करने तथा नकली पुरस्कार संदेशों के बारे में बच्चे को छोटे लेकिन स्पष्ट सुरक्षा नियम समझाने चाहिए।