Club Penguin Rewritten (janeiro de 2018)

As categorias de dados verificadas são endereços de e-mail, endereços IP, nomes de usuário e senhas. Segundo os relatos, o campo de senha estava no formato de hash bcrypt; isso não significa que a senha esteja disponível em um formato diretamente legível. Ainda assim, invasores podem testar senhas fracas, curtas ou reutilizadas. Quando o endereço de e-mail e o nome de usuário aparecem juntos, invasores podem tentar vincular a conta do jogo a identidades em outras plataformas.

Endereços IP podem fornecer indícios sobre a localização aproximada, o provedor de internet e o contexto da sessão. Quando o público inclui crianças e jovens jogadores, esses dados exigem mais cuidado. Informações de nome de usuário, e-mail e IP podem ser usadas em tentativas de engenharia social com mensagens falsas de moderadores, promessas de itens gratuitos, links de verificação de conta ou pretextos para remover penalidades. Por isso, o incidente exige atenção não apenas à troca de senha, como medida técnica, mas também à conscientização sobre segurança dentro do jogo.

Este registro abrange 1.688.176 contas afetadas, e a data registrada para o incidente é 21 de janeiro de 2018. Os campos de dados verificados incluem endereço de e-mail, endereço IP, nome de usuário e hash de senha bcrypt. Há relatos de que os responsáveis pela plataforma tinham conhecimento do incidente e entraram em contato com os usuários afetados. O registro se refere a um serviço independente que recriou o Club Penguin; não deve ser interpretado como um conjunto de dados do serviço original Club Penguin, da Disney.

Este registro não classifica dados de cartão de pagamento, endereço físico, número de telefone, data de nascimento, conteúdo de mensagens privadas ou nome real como dados verificados. Além disso, não abrange o outro incidente do Club Penguin Rewritten, ocorrido em julho de 2019. Embora os dois incidentes apareçam sob o mesmo nome de marca, devem ser avaliados com datas e escopos distintos. Essa distinção é importante para evitar a impressão de registros duplicados e garantir que você entenda corretamente a qual incidente corresponde o resultado encontrado.

O risco é maior para quem usou a mesma senha da conta do Club Penguin Rewritten também em outros jogos, no e-mail, em redes sociais ou em fóruns. Como as contas de jogos costumam ser gerenciadas por crianças ou adolescentes, as senhas escolhidas podem ser simples ou repetidas em vários serviços. No caso de contas abertas com o endereço de e-mail de um dos pais, o risco também pode se estender à conta da família, já que as redefinições de senha e as notificações de segurança são gerenciadas por e-mail.

Um nome de usuário conhecido pode facilitar que um invasor se passe pela pessoa dentro do jogo ou cometa fraudes no processo de recuperação da conta. O endereço IP não revela o endereço exato; ainda assim, informações sobre a região aproximada e o provedor podem ajudar a tornar mensagens direcionadas mais convincentes. Crianças que jogam podem ser mais vulneráveis a promessas de itens gratuitos, contas raras, privilégios de moderador ou remoção de banimentos. Por isso, pais e titulares das contas precisam agir em conjunto.

Se você identificar uma correspondência neste registro, deve alterar a senha usada na sua conta do Club Penguin Rewritten e em qualquer outra conta que use a mesma senha ou uma semelhante. Priorize a proteção da conta de e-mail, ative a autenticação multifator e verifique se há sessões suspeitas. Se a conta era usada por uma criança, um dos pais também deve revisar a reutilização de senhas na conta de e-mail, nas contas de jogos e nas redes sociais.

Mensagens de verificação de conta recebidas dentro do jogo ou por e-mail, ofertas de assinatura gratuita, recompensas em itens, remoções de penalidades, candidaturas a moderador ou alertas de segurança não devem ser considerados confiáveis sem verificação. Antes de abrir qualquer link, verifique o nome de domínio e, se possível, realize as ações acessando diretamente o endereço conhecido. Uma pessoa que conhece seu nome de usuário e informações anteriores sobre o jogo não é confiável. Em nenhuma circunstância compartilhe códigos de verificação, novas senhas, acesso ao e-mail ou informações de recuperação de conta com terceiros.

O incidente do Club Penguin Rewritten mostra que a segurança das contas exige atenção especial em comunidades de jogos com crianças e jovens. Os pais devem garantir que as crianças usem senhas exclusivas para suas contas de jogos e gerenciar contas importantes com endereços de e-mail seguros sob seu controle. Um gerenciador de senhas facilita a criação de senhas exclusivas para diferentes jogos e plataformas sociais. Se contas antigas de jogos não estiverem em uso, elas devem ser encerradas ou a quantidade de informações pessoais nelas deve ser reduzida ao mínimo.

A estratégia de longo prazo não se resume a medidas técnicas. As crianças devem receber orientações claras sobre fraudes dentro do jogo, mensagens falsas de moderadores, promessas de itens gratuitos e riscos do compartilhamento de contas. Se os nomes de usuário também forem usados em outras plataformas, é importante lembrar que invasores podem associar os perfis. Vazamentos antigos com dados de IP e e-mail podem tornar futuras mensagens direcionadas mais verossímeis; por isso, comunicações suspeitas devem ser verificadas por um canal separado.

Uma correspondência neste registro indica que o endereço de e-mail em questão está entre as contas identificadas no vazamento de dados do Club Penguin Rewritten de janeiro de 2018. Essa correspondência não tem o mesmo significado que uma correspondência no outro incidente, de julho de 2019, e não deve ser considerada como referente a dados do serviço original Club Penguin, da Disney. O escopo verificado deste registro se limita ao endereço de e-mail, endereço IP, nome de usuário e hash de senha bcrypt.

Você ou, no caso de uma criança, um dos pais deve primeiro deixar de reutilizar senhas, reforçar a segurança da conta de e-mail e ter cuidado com mensagens falsas que usem o mesmo nome de usuário das contas de jogos. Se senhas antigas de jogos forem usadas em outras plataformas, elas devem ser alteradas imediatamente. Se a conta pertencer a uma criança, um dos pais deve verificar as opções de recuperação, encerrar contas antigas e explicar à criança regras de segurança breves e claras sobre o compartilhamento de contas e mensagens falsas de recompensas.