Club Penguin Rewritten (जुलाई 2019)

इस रिकॉर्ड में शामिल ईमेल पते, उपयोगकर्ता नाम और IP पते किसी खिलाड़ी की पहचान को उसकी वास्तविक संपर्क जानकारी से जोड़ सकते हैं। उपयोगकर्ता नाम का संबंध गेम के भीतर की पहचान और समुदाय की प्रोफ़ाइल से हो सकता है। ईमेल पते का इस्तेमाल खाता पुनर्प्राप्त करने, सूचनाएँ भेजने और दूसरे प्लेटफ़ॉर्म पर लॉगिन करने के लिए किया जा सकता है। IP पता सीधे तौर पर भौतिक पता नहीं बताता; हालाँकि, इससे कनेक्शन के क्षेत्र, सेवा प्रदाता या सत्र के संदर्भ के बारे में मोटे तौर पर संकेत मिल सकते हैं। इन जानकारियों को एक साथ इस्तेमाल करने से गेम की फ़र्ज़ी घोषणाएँ, खाते की सुरक्षा संबंधी चेतावनियाँ और समुदाय के संदेश अधिक विश्वसनीय लग सकते हैं।

पासवर्ड bcrypt हैश के रूप में होने से सादे पाठ में पासवर्ड रखे जाने का जोखिम सीधे तौर पर कम होता है। फिर भी, एक ही पासवर्ड का दोबारा इस्तेमाल एक गंभीर समस्या है। यदि किसी उपयोगकर्ता ने अपने ईमेल खाते, गेम खाते, सोशल मीडिया या अन्य गेम फ़ोरम पर वही पासवर्ड इस्तेमाल किया है, तो हमलावर उसका अनुमान लगाने या उसे दूसरी सेवाओं पर आज़माने की कोशिश कर सकते हैं। इस संभावना को ध्यान में रखना चाहिए कि बच्चे और कम उम्र के उपयोगकर्ता सरल पासवर्ड चुनें या अलग-अलग गेम में एक ही पासवर्ड इस्तेमाल करें। इसलिए केवल Club Penguin Rewritten खाते की ही नहीं, बल्कि उसी ईमेल पते और उपयोगकर्ता नाम से जुड़े अन्य खातों की भी जाँच की जानी चाहिए।

इस रिकॉर्ड में सत्यापित प्रभावित खातों की संख्या 40,07,909 है। घटना की तारीख 27 जुलाई 2019 दर्ज है। डेटा श्रेणियाँ ईमेल पते, IP पते, उपयोगकर्ता नाम और bcrypt पासवर्ड हैश तक सीमित हैं। जनवरी 2018 में हुए पिछले Club Penguin Rewritten डेटा उल्लंघन को इस रिकॉर्ड से अलग रखा जाना चाहिए; पुरानी घटना लगभग 17 लाख खातों से संबंधित है और उसे एक अलग रिकॉर्ड माना जाना चाहिए। जुलाई 2019 का रिकॉर्ड बाद की और बड़े पैमाने की घटना से संबंधित है।

इस रिकॉर्ड में वास्तविक नाम, फ़ोन नंबर, भौतिक पता, जन्मतिथि, भुगतान कार्ड, बैंक संबंधी जानकारी, चैट संदेश या गेम के भीतर की गई खरीदारी का इतिहास सत्यापित डेटा श्रेणियों के रूप में शामिल नहीं हैं। Club Penguin Rewritten प्रशंसकों द्वारा बनाई गई गेम सेवा है, लेकिन इस रिकॉर्ड में केवल खाते और सत्र की ID से संबंधित सत्यापित फ़ील्ड शामिल हैं। विवरण में उपयोगकर्ताओं की तस्वीरों, वास्तविक पहचान दस्तावेज़ों या वित्तीय जानकारी जैसे असत्यापित फ़ील्ड शामिल नहीं किए जाने चाहिए। इसका सही दायरा ईमेल पते, उपयोगकर्ता नाम, IP पते और bcrypt पासवर्ड हैश से जुड़ा जोखिम है।

सबसे अधिक जोखिम उन उपयोगकर्ताओं को है जो Club Penguin Rewritten का पासवर्ड दूसरे खातों पर भी इस्तेमाल करते हैं। कम उम्र के उपयोगकर्ताओं के लिए यह विशेष रूप से महत्वपूर्ण है, क्योंकि वही पासवर्ड अलग-अलग गेम, स्कूल के ईमेल, सोशल मीडिया खातों या परिवार के सदस्यों द्वारा उपकरणों पर इस्तेमाल किए जाने वाले खातों में भी दोहराया गया हो सकता है। यदि ईमेल खाते पर हमलावर का नियंत्रण हो जाता है, तो दूसरे खातों के पासवर्ड रीसेट लिंक भी उसके हाथ लग सकते हैं। इसलिए अभिभावकों और उपयोगकर्ताओं को ईमेल खाते की सुरक्षा को प्राथमिकता देनी चाहिए।

दूसरे जोखिम समूह में वे खिलाड़ी आते हैं जो गेम के भीतर का अपना उपयोगकर्ता नाम दूसरे प्लेटफ़ॉर्म पर भी इस्तेमाल करते हैं। जब वही उपयोगकर्ता नाम फ़ोरम, सोशल मीडिया प्रोफ़ाइल या दूसरे गेम में दोहराया जाता है, तो अलग-अलग प्रोफ़ाइल को आपस में जोड़ पाने का जोखिम पैदा होता है। हमलावर इस जानकारी के आधार पर मॉडरेटर के फ़र्ज़ी संदेश, गेम के भीतर उपहार, मुफ़्त वस्तुएँ, खाता सत्यापन या सुरक्षा चेतावनियों जैसे संदेश तैयार कर सकते हैं। IP पते से क्षेत्र के आधार पर लक्षित किए गए ऐसे संदेश भी अधिक विश्वसनीय लग सकते हैं। बच्चों के गेमिंग समुदायों में सुरक्षित संवाद की आदतें भी महत्वपूर्ण हैं।

Club Penguin Rewritten के लिए इस्तेमाल किया गया पासवर्ड किसी अन्य खाते पर इस्तेमाल नहीं किया जाना चाहिए। उपयोगकर्ता या अभिभावक को उन ईमेल, गेम, सोशल मीडिया और स्कूल खातों की जाँच करनी चाहिए जहाँ वही पासवर्ड इस्तेमाल किया गया हो सकता है, और हर खाते के लिए अलग तथा मज़बूत पासवर्ड रखना चाहिए। पासवर्ड मैनेजर का इस्तेमाल इस प्रक्रिया को आसान बनाता है। Bcrypt का इस्तेमाल होने पर भी कमज़ोर या दोबारा इस्तेमाल किए गए पासवर्ड का अनुमान समय के साथ लगाया जा सकता है। पुराने पासवर्ड में छोटे बदलाव करके उसे फिर से इस्तेमाल करना सुरक्षित नहीं है।

ईमेल खाते पर दो-कारक प्रमाणीकरण चालू किया जाना चाहिए और हाल के सत्रों की जाँच करनी चाहिए। बच्चों या किशोर उपयोगकर्ताओं को समझाया जाना चाहिए कि वे ऐसे संदेशों के लिंक पर क्लिक न करें जो गेम प्रशासक या मॉडरेटर की ओर से आए हुए लगें, या जिनमें मुफ़्त वस्तुओं, खाता सत्यापन या सुरक्षा चेतावनी की बात हो। किसी भी वास्तविक गेम प्रशासक को कभी उपयोगकर्ता के ईमेल का पासवर्ड, सत्यापन कोड या खाते से जुड़ी कोई अन्य जानकारी नहीं माँगनी चाहिए। संदिग्ध संदेशों की जाँच अभिभावक या किसी भरोसेमंद वयस्क के साथ मिलकर की जानी चाहिए।

गेमिंग समुदायों को केवल मनोरंजन की जगह नहीं समझना चाहिए, खासकर जब उनके उपयोगकर्ता बच्चे और किशोर हों। ईमेल पते, उपयोगकर्ता नाम और पासवर्ड के ज़रिए खाते दूसरी डिजिटल पहचानों से जुड़ सकते हैं। दीर्घकालिक सुरक्षा के लिए हर गेमिंग खाते का पासवर्ड अलग होना चाहिए, और बच्चों के खातों में अभिभावकीय नियंत्रण तथा सुरक्षा चेतावनियाँ चालू रखनी चाहिए। निजता के लिए यह भी महत्वपूर्ण है कि उपयोगकर्ता नाम में निजी जानकारी न हो और उसे बिना ज़रूरत अलग-अलग प्लेटफ़ॉर्म पर दोहराया न जाए।

प्लेटफ़ॉर्म के लिए केवल पासवर्ड संग्रहीत करने का मज़बूत तरीका पर्याप्त नहीं है। एक्सेस अनुमतियों, प्रशासक खातों, पुराने तकनीकी ढाँचे, सत्र लॉग और घटनाओं की रिपोर्टिंग प्रक्रियाओं की नियमित जाँच की जानी चाहिए। बच्चों के लिए बनाए गए समुदायों में उपयोगकर्ता सुरक्षा और संवाद की सुरक्षा को अधिक प्राथमिकता मिलनी चाहिए। उपयोगकर्ताओं के लिए स्थायी रणनीति में अलग-अलग पासवर्ड, ईमेल खाते की सुरक्षा, गेम से जुड़े संदिग्ध संदेशों के प्रति सावधानी और अभिभावकों की मदद से खातों की नियमित जाँच शामिल है।

इस रिकॉर्ड में मिलान मिलने का अर्थ है कि संबंधित ईमेल पता Club Penguin Rewritten के जुलाई 2019 डेटा उल्लंघन से जुड़े खातों में शामिल है। मिलान मिलने का यह अर्थ नहीं है कि उपयोगकर्ता का वास्तविक नाम, पता, भुगतान संबंधी जानकारी या चैट की सामग्री इस रिकॉर्ड के सत्यापित दायरे में शामिल है। सत्यापित फ़ील्ड ईमेल पता, IP पता, उपयोगकर्ता नाम और bcrypt पासवर्ड हैश हैं। यदि उपयोगकर्ता ने दूसरे खातों पर भी वही पासवर्ड इस्तेमाल किया है, तो उन खातों के पासवर्ड बदलने को प्राथमिकता दी जानी चाहिए।

अभिभावकों को जाँच करनी चाहिए कि बच्चों या कम उम्र के उपयोगकर्ताओं ने उसी ईमेल पते और उपयोगकर्ता नाम से दूसरे गेम में पंजीकरण तो नहीं किया है। गेम से जुड़े संदिग्ध संदेशों, मुफ़्त वस्तुएँ देने के वादों, खाता सत्यापन लिंक और मॉडरेटर की ओर से आए हुए लगने वाले अनुरोधों पर आधिकारिक माध्यम से पुष्टि किए बिना प्रतिक्रिया नहीं देनी चाहिए। ईमेल खाता सुरक्षित करने के बाद गेम और सोशल मीडिया खातों के सत्रों की समीक्षा करनी चाहिए और अनजान लिंक हटा देने चाहिए। यह घटना पुरानी होने पर भी, एक ही पासवर्ड का दोबारा इस्तेमाल किए जाने के कारण इसका प्रभाव बना रह सकता है।