Vazamento de dados de The Club Penguin Experience

Os tipos de dados listados neste incidente são: faixas etárias, endereços de e-mail, dicas de senha, senhas e nomes de usuário. As dicas de senha podem facilitar a descoberta das senhas, mesmo que elas tenham valores de hash fortes. A associação de vários campos ao mesmo usuário pode tornar mais convincentes as tentativas de atacantes que envolvam notificações falsas, recuperação de conta, engenharia social ou correlação de identidades.

Ao que parece, as senhas são armazenadas como valores de hash bcrypt, e alguns registros contêm dicas de senha em texto simples. Se houver campos como senha, dica de senha, mensagem privada, identificação oficial, informações financeiras, localização ou foto de perfil, o risco não se limita ao recebimento de spam por e-mail. Mesmo em registros sem senhas, informações como número de telefone, endereço, IP, data de nascimento ou perfil em redes sociais podem ser usadas em ataques direcionados.

O registro abrange aproximadamente 6.300 contas de assinantes associadas ao domínio thecpexperience.com. O incidente está na categoria de registros verificados. O escopo foi descrito após a verificação separada do número de contas, do domínio, do país, do setor e das categorias de dados. Tipos de dados não listados não foram apresentados a você como se estivessem presentes.

O setor foi corrigido para jogos de fãs e mundo virtual, e não varejo. Em alguns casos, a resposta da empresa aparece em contextos diferentes, como um serviço de terceiros, uma conta de fórum, uma lista de e-mails ou um perfil de usuário. Esses registros foram separados individualmente, sem duplicação, preservando o contexto real do serviço em que o evento ocorreu.

Usuários do The Club Penguin Experience, pessoas que usam o mesmo nome de usuário em outros jogos e contas que compartilharam dicas de senha estão em risco. O principal risco para esses usuários é que os dados vazados possam ser cruzados com informações usadas em outras plataformas. Se o mesmo e-mail, nome de usuário, número de telefone, IP, endereço ou senha for repetido em contas diferentes, atacantes poderão explorar esses identificadores em comum.

O contexto do jogo pode ser usado em mensagens falsas sobre renovação de assinatura, itens para personagens, convites para eventos ou verificação de conta. Contextos diferentes, como fóruns, jogos, receitas, hospedagem, energia, ingressos para eventos, boletins informativos, redes sociais e finanças, geram riscos diferentes. Você deve considerar não apenas os campos de dados, mas também o serviço ao qual eles estão associados.

Se você foi afetado, deve alterar suas senhas e dicas de senha. Se usa as mesmas dicas em outras contas, também deve atualizá-las. Se uma senha ou dica de senha tiver sido divulgada, você deve alterá-la em todas as contas nas quais usa a mesma senha ou uma senha semelhante, usar uma senha exclusiva e ativar a autenticação multifator sempre que possível. A segurança da conta de e-mail também deve ser verificada.

Você deve verificar as opções de recuperação de conta, o histórico de sessões, as regras de encaminhamento e as notificações suspeitas quando os registros contiverem telefone, endereço, localização, data de nascimento, mensagem privada, perfil em redes sociais ou informações financeiras. Pessoas com perfis corporativos ou acessíveis ao público também devem considerar o risco de mensagens direcionadas e os riscos à reputação.

Em jogos com usuários jovens, a conscientização dos pais, o uso de senhas exclusivas e o hábito de não usar dicas de senha são importantes. A longo prazo, usar um gerenciador de senhas, adotar senhas exclusivas e autenticação multifator, encerrar contas antigas e reduzir informações desnecessárias no perfil são medidas fundamentais de proteção. Como dados pessoais permanentes não podem ser alterados, é necessário reforçar os cuidados no uso dos serviços e as configurações das contas.

Para as instituições, esses eventos mostram que o acesso a arquivos de backup, as permissões de contas de fóruns, os dados de assinatura de boletins informativos, os prazos de retenção de dados de clientes e os processos de notificação precisam ser auditados regularmente. Para você, não repetir as mesmas informações de identificação em serviços diferentes e verificar mensagens inesperadas por um segundo canal oferece proteção duradoura.

Se você identificar uma correspondência com este registro, deve verificar se há reutilização de senhas nas contas de jogos e de e-mail. Ao encontrar uma correspondência, primeiro leia quais campos de dados estão listados e, em seguida, priorize as medidas de acordo com eles. Se houver senha, priorize a troca da senha; se houver dados financeiros, o monitoramento da conta; se houver mensagens privadas ou um perfil em redes sociais, as verificações de privacidade; se houver dados de localização, a avaliação da segurança física.

Avaliação final: este registro representa um incidente sensível envolvendo contas de jogo, pois contém campos de faixa etária, dica de senha e senha. Você deve comparar este registro com seu próprio histórico de contas e verificar separadamente os serviços nos quais usa o mesmo e-mail, telefone, nome de usuário, endereço ou senha. Buscas, e-mails, mensagens ou notificações de recuperação de conta suspeitos devem ser considerados de maior risco após o incidente.