Vazamento de dados de Webkinz

O arquivo divulgado continha nomes de usuário do Webkinz e hashes de senha MD5-Crypt. MD5-Crypt não é texto simples nem é idêntico ao MD5 puro, mas é obsoleto segundo os padrões modernos de armazenamento de senhas e oferece resistência insuficiente a tentativas de adivinhar senhas offline. Se uma senha curta, comum ou previsível for recuperada, todas as outras contas que usam a mesma senha também poderão estar em risco. Segundo as reportagens, valores de hash dos endereços de e-mail dos pais foram obtidos separadamente, mas não estavam presentes no arquivo divulgado publicamente. Por isso, endereços de e-mail não devem ser acrescentados como uma categoria de dados verificada. Na época, a empresa afirmou que as contas do Webkinz nunca haviam solicitado endereços, números de telefone ou sobrenomes e não estavam vinculadas aos dados das contas do eStore. Não há fundamento verificado para afirmar que dados de pagamento ou registros de identidade do mundo real estavam presentes no arquivo divulgado.

As reportagens situam a invasão no início de abril de 2020; como o dia exato não foi divulgado, 1 de abril é usado como data de referência para o mês. Uma investigação publicada em 18 de abril informou que pesquisadores haviam ajudado a obter e verificar uma cópia do arquivo, que continha 22.982.319 pares de nome de usuário e senha. Fontes citadas nessa reportagem afirmaram que o invasor usou uma falha de injeção de SQL em um formulário do site e que a equipe do Webkinz detectou e corrigiu o ponto de entrada. Em 19 de abril, a empresa declarou que estava ciente de uma notícia sobre um suposto vazamento, que estava investigando o caso e que recomendava aos usuários preocupados que alterassem suas senhas. Em seguida, uma atualização oficial de segurança passou a exigir que cada jogador atualizasse a senha da conta uma vez antes de entrar. Embora a alegação sobre o acesso inicial seja sustentada por reportagens confiáveis, não foi localizado nenhum relatório forense detalhado nem um relatório público final da empresa sobre o incidente.

O grupo mais diretamente afetado é o de jogadores atuais e antigos que tinham uma conta do Webkinz antes de abril de 2020. Quem reutilizou o mesmo nome de usuário e a mesma senha em outro jogo, plataforma social ou conta de e-mail pode sofrer tentativas de credential stuffing. Como a base de jogadores inclui crianças, as alterações de senha e a recuperação de contas devem ser feitas com a participação de um dos pais ou de um responsável. Um nome de usuário não é necessariamente um nome real, portanto os registros não devem ser automaticamente vinculados à identidade de uma criança específica. Ainda assim, um nome de usuário pode ser usado para se passar por alguém dentro do jogo, enviar mensagens falsas de suporte ou tentar tomar o controle de uma conta. Endereços de e-mail não são um campo verificado no arquivo divulgado, portanto este incidente, por si só, não deve ser apresentado como um vazamento confirmado de e-mails ou uma lista de contatos para phishing.

Se você tem uma conta do Webkinz e não atualizou a senha dela depois de 2020, escolha uma senha nova e exclusiva na tela oficial de login. Substitua a mesma senha, ou senhas semelhantes, em todos os outros serviços em que foram usadas, priorizando a conta de e-mail associada, as lojas de jogos e as contas dos pais. Para a conta de uma criança, crie a nova senha junto com um dos pais ou um responsável, explique que ela não deve ser compartilhada e converse sobre solicitações falsas de suporte. Se você perdeu o acesso, use apenas os canais oficiais de suporte; nunca publique uma senha, o nome de um animal de estimação ou informações de recuperação em um fórum ou mensagem. Revise as sessões ativas, o endereço de e-mail vinculado e alterações inesperadas na conta. Trate a conta do eStore separadamente: a empresa afirmou que ela não estava vinculada aos dados das contas do Webkinz, portanto não se deve presumir que as informações de pagamento do eStore estejam nesse arquivo.

Usar uma senha diferente para cada serviço impede que a recuperação de uma senha de jogo coloque outras contas em risco. As famílias podem manter entradas separadas no gerenciador de senhas para as contas das crianças e verificar periodicamente o endereço de e-mail de recuperação. Mesmo que o Webkinz não ofereça autenticação multifator, ative esse recurso em serviços importantes conectados, como contas de e-mail e de lojas de jogos. Não se esqueça das contas antigas; peça ao suporte oficial que encerre ou exclua as contas que não são mais necessárias. As crianças devem aprender a não fornecer senhas a pessoas que prometem presentes dentro do jogo ou assinaturas gratuitas e a mostrar mensagens suspeitas a um adulto. Para os operadores de serviços, consultas parametrizadas, técnicas modernas de hash de senhas, testes de invasão regulares, minimização de dados e comunicação clara sobre incidentes oferecem proteção duradoura.

Como este registro do Webkinz não contém endereços de e-mail verificados, uma busca no LeakData feita apenas por e-mail pode não mostrar uma correspondência com o Webkinz. Um resultado vazio não prova que uma conta usada antes de 2020 não estava no arquivo de nomes de usuário e senhas. A verificação mais segura é determinar se você tinha uma conta na época e se a senha antiga dela continua ativa em algum outro serviço. Nunca digite a própria senha em formulários de busca, fóruns ou sites de terceiros. Se você tem uma conta do Webkinz, use os canais oficiais de redefinição de senha e suporte e, em seguida, proteja cada uma das outras contas que reutilizavam a senha antiga com uma credencial diferente e exclusiva.