Club Penguin Rewritten (julho de 2019)

Os endereços de e-mail, nomes de usuário e endereços IP incluídos neste registro podem vincular informações reais de contato à identidade de um jogador. Um nome de usuário pode estar associado à identidade dentro do jogo e ao perfil na comunidade. Um endereço de e-mail pode ser usado para recuperar contas, receber notificações e entrar em outras plataformas. Um endereço IP não revela diretamente um endereço físico, mas pode oferecer indícios aproximados sobre a região da conexão, o provedor de serviços ou o contexto da sessão. Quando usados em conjunto, esses campos podem tornar mais convincentes anúncios falsos sobre o jogo, alertas de segurança da conta e mensagens da comunidade.

O armazenamento de senhas como hashes bcrypt reduz diretamente o risco associado a senhas em texto simples. Mesmo assim, a reutilização de senhas é um problema significativo. Se um usuário tiver usado a mesma senha na conta de e-mail, na conta do jogo, em redes sociais ou em outros fóruns de jogos, os invasores poderão tentar adivinhar essa senha ou usá-la em outros serviços. Deve-se levar em conta a possibilidade de crianças e jovens escolherem senhas simples ou usarem a mesma senha em jogos diferentes. Por isso, é necessário verificar não apenas a conta do Club Penguin Rewritten, mas também outras contas associadas ao mesmo e-mail e nome de usuário.

O número confirmado de contas afetadas neste registro é de 4.007.909. A data do incidente está registrada como 27 de julho de 2019. As categorias de dados se limitam a endereços de e-mail, endereços IP, nomes de usuário e hashes de senha bcrypt. O vazamento anterior do Club Penguin Rewritten, de janeiro de 2018, deve ser mantido separado deste registro; o incidente mais antigo está associado a aproximadamente 1,7 milhão de contas e deve ser tratado como um registro separado. O registro de julho de 2019 corresponde ao incidente mais recente e de maior escala.

Não há, neste registro, categorias de dados confirmadas que incluam nome real, número de telefone, endereço físico, data de nascimento, cartão de pagamento, informações bancárias, mensagens de chat ou histórico de compras dentro do jogo. Embora o Club Penguin Rewritten seja um serviço de jogo criado por fãs, este registro contém apenas campos confirmados relacionados à conta e ao ID de sessão. A descrição não deve incluir campos não confirmados, como fotos dos usuários, documentos reais de identidade ou informações financeiras. O escopo correto se limita aos riscos associados ao e-mail, ao nome de usuário, ao endereço IP e ao hash de senha bcrypt.

Os usuários mais expostos ao risco são aqueles que também usam a senha do Club Penguin Rewritten em outras contas. Isso é especialmente importante para os jovens, pois a mesma senha pode ter sido repetida em jogos diferentes, e-mails escolares, contas de redes sociais ou contas usadas em dispositivos por familiares. Se a conta de e-mail for comprometida, os links de redefinição de senha de outras contas também poderão cair nas mãos de um invasor. Por isso, pais e usuários devem priorizar a proteção da conta de e-mail.

O segundo grupo de risco é formado por jogadores que também usam seu nome de usuário do jogo em outras plataformas. Quando o mesmo nome de usuário se repete em fóruns, perfis de redes sociais ou outros jogos, surge o risco de associar esses perfis entre si. Os invasores podem usar essas informações para preparar mensagens falsas que se passam por comunicações de moderadores ou oferecem presentes no jogo, itens gratuitos, verificação de conta ou alertas de segurança. O endereço IP também pode tornar essa abordagem mais convincente no contexto regional. Em comunidades de jogos voltadas para crianças, hábitos seguros de comunicação também são importantes.

A senha usada no Club Penguin Rewritten não deve ser usada em nenhuma outra conta. O usuário ou um dos pais deve verificar as contas de e-mail, jogos, redes sociais e serviços escolares nas quais a mesma senha possa ter sido usada e definir uma senha forte e exclusiva para cada uma. O uso de um gerenciador de senhas facilita esse processo. Mesmo com o uso de Bcrypt, senhas fracas ou reutilizadas podem acabar sendo adivinhadas com o tempo. Reutilizar uma senha antiga com pequenas alterações não é seguro.

A autenticação de dois fatores deve ser ativada na conta de e-mail, e as sessões recentes devem ser verificadas. Crianças e adolescentes devem ser orientados a não clicar em links de mensagens que pareçam vir do administrador ou de um moderador do jogo, nem de mensagens que ofereçam itens gratuitos, solicitem a verificação da conta ou apresentem alertas de segurança. Um administrador legítimo do jogo nunca deve pedir a senha do e-mail do usuário, um código de verificação ou outras informações da conta. Mensagens suspeitas devem ser analisadas com um dos pais ou um adulto de confiança.

As comunidades de jogos não devem ser vistas apenas como espaços de entretenimento, especialmente quando envolvem crianças e adolescentes. As contas podem ser vinculadas a outras identidades digitais por meio do e-mail, do nome de usuário e da senha. A longo prazo, deve-se usar uma senha diferente para cada conta de jogo e manter os controles parentais e os alertas de segurança ativados nas contas das crianças. Para preservar a privacidade, também é importante que os nomes de usuário não contenham informações pessoais nem sejam repetidos desnecessariamente em plataformas diferentes.

Para as plataformas, um método robusto de armazenamento de senhas, por si só, não é suficiente. Permissões de acesso, contas de administradores, infraestrutura legada, registros de sessão e processos de comunicação de incidentes devem ser verificados regularmente. Nas comunidades voltadas para crianças, a proteção dos usuários e a segurança da comunicação devem receber maior prioridade. Do ponto de vista dos usuários, uma estratégia permanente envolve senhas exclusivas, segurança da conta de e-mail, cautela com mensagens suspeitas sobre jogos e verificações regulares das contas com o apoio dos pais.

Uma correspondência encontrada neste registro indica que o endereço de e-mail em questão está entre as contas associadas ao vazamento de dados do Club Penguin Rewritten de julho de 2019. Uma correspondência não significa que o nome real, o endereço, as informações de pagamento ou o conteúdo dos chats do usuário estejam incluídos no escopo confirmado deste registro. Os campos confirmados são endereço de e-mail, endereço IP, nome de usuário e hash de senha bcrypt. Se o usuário tiver usado a mesma senha em outras contas, a troca de senha nessas contas deve ser priorizada.

Os pais devem verificar se as crianças ou os jovens se cadastraram em outros jogos com o mesmo e-mail e nome de usuário. Mensagens suspeitas sobre jogos, promessas de itens gratuitos, links de verificação de conta e solicitações que pareçam vir de moderadores não devem receber resposta sem confirmação pelo canal oficial. Depois de proteger a conta de e-mail, é necessário revisar as sessões nas contas de jogos e redes sociais e remover links desconhecidos. Mesmo sendo antigo, este incidente pode continuar causando impactos devido à reutilização de senhas.