Club Penguin Rewritten (январь 2018 года)

Подтвержденные категории данных, адреса электронной почты, IP-адреса, имена пользователей и пароли. Сообщалось, что пароли представлены в виде хешей bcrypt; это не означает, что они доступны в читаемом виде. Тем не менее злоумышленники могут пытаться подобрать слабые, короткие или повторно используемые пароли. Если адрес электронной почты и имя пользователя встречаются вместе, злоумышленники могут попытаться связать игровой аккаунт с профилями на других платформах.

IP-адреса могут дать представление о приблизительном местоположении, интернет-провайдере и обстоятельствах сеанса. Когда речь идет о детях и юных игроках, с такими данными следует обращаться особенно осторожно. Имена пользователей, адреса электронной почты и IP-адреса могут использоваться в попытках социальной инженерии: поддельных сообщениях от модераторов, обещаниях бесплатных предметов, ссылках для подтверждения аккаунта или предложениях снять санкции. Поэтому значение этого инцидента не сводится к смене пароля: важна и осведомленность о безопасности в игре.

Эта запись охватывает 1 688 176 затронутых аккаунтов; датой инцидента указано 21 января 2018 года. К подтвержденным полям данных относятся адрес электронной почты, IP-адрес, имя пользователя и хеш пароля bcrypt. Сообщалось, что представители платформы знали об инциденте и связались с пострадавшими пользователями. Запись относится к независимому сервису, воссоздающему Club Penguin; ее не следует трактовать как утечку данных оригинального сервиса Club Penguin компании Disney.

В этой записи данные платежных карт, почтовые адреса, номера телефонов, даты рождения, содержимое личных сообщений и настоящие имена не относятся к подтвержденным данным утечки. Кроме того, запись не охватывает отдельный инцидент Club Penguin Rewritten, произошедший в июле 2019 года. Хотя оба события связаны с одним брендом, их следует рассматривать отдельно, с учетом разных дат и объемов утечки. Это различие важно, чтобы записи не воспринимались как дубликаты и пользователь правильно понимал, к какому событию относится найденное совпадение.

Наибольшему риску подвержены пользователи, которые использовали пароль от аккаунта Club Penguin Rewritten также в других играх, электронной почте, социальных сетях или на форумах. Поскольку игровыми аккаунтами часто пользуются дети и подростки, они могут выбирать простые пароли или повторять их на нескольких ресурсах. Если аккаунт был создан с адресом электронной почты родителя, риск может распространяться и на семейный аккаунт, поскольку сброс паролей и уведомления о безопасности проходят через электронную почту.

Знакомое имя пользователя может помочь злоумышленнику выдать себя за игрока или совершить мошенничество при восстановлении аккаунта. IP-адрес не раскрывает точный адрес, однако сведения о приблизительном регионе и провайдере могут сделать целевые сообщения более убедительными. Дети могут быть более восприимчивы к обещаниям бесплатных предметов, редких аккаунтов, прав модератора или снятия блокировки. Поэтому родителям и владельцам аккаунтов необходимо действовать сообща.

Если вы обнаружили совпадение в этой записи, смените пароль от аккаунта Club Penguin Rewritten и от всех других аккаунтов, где используется такой же или похожий пароль. В первую очередь защитите электронную почту: включите многофакторную аутентификацию и проверьте, нет ли подозрительных сеансов. Если аккаунтом пользовался ребенок, родителю также следует проверить, не повторяются ли пароли в электронной почте, игровых аккаунтах и социальных сетях.

Не стоит без проверки доверять сообщениям в игре или по электронной почте с просьбой подтвердить аккаунт, предложениями бесплатного членства, игровых наград, снятия санкций, подачи заявки на роль модератора или предупреждениями о безопасности. Прежде чем открывать ссылки, проверьте доменное имя; по возможности выполняйте нужные действия, переходя непосредственно по известному вам адресу. Не следует доверять человеку лишь потому, что он знает ваше имя пользователя и сведения о вашей прошлой активности в игре. Ни при каких обстоятельствах не передавайте третьим лицам коды подтверждения, новые пароли, доступ к электронной почте или сведения для восстановления аккаунта.

Инцидент Club Penguin Rewritten показывает, что безопасность аккаунтов требует особого внимания в игровых сообществах, где есть дети и юные пользователи. Родителям следует следить за тем, чтобы дети использовали уникальные пароли для игровых аккаунтов, а важные аккаунты были привязаны к защищенным адресам электронной почты, находящимся под контролем родителей. Менеджер паролей упрощает создание уникальных паролей для разных игр и социальных платформ. Если старые игровые аккаунты больше не используются, их следует закрыть или свести к минимуму объем личных данных в них.

Долгосрочная стратегия не ограничивается техническими мерами. Детям нужно понятно объяснять риски внутриигрового мошенничества, поддельных сообщений от модераторов, обещаний бесплатных предметов и передачи доступа к аккаунту другим людям. Если те же имена пользователей используются на других платформах, следует помнить, что злоумышленники могут сопоставить профили. Старые утечки с IP-адресами и адресами электронной почты могут сделать будущие целевые сообщения более правдоподобными, поэтому подозрительные обращения следует проверять через другой канал связи.

Совпадение в этой записи означает, что соответствующий адрес электронной почты присутствует среди данных аккаунтов, обнаруженных в утечке Club Penguin Rewritten за январь 2018 года. Это совпадение не относится к отдельному инциденту июля 2019 года и не должно восприниматься как указание на утечку данных оригинального сервиса Club Penguin компании Disney. Подтвержденный состав данных в этой записи ограничивается адресом электронной почты, IP-адресом, именем пользователя и хешем пароля bcrypt.

Пользователю или родителю прежде всего следует прекратить повторное использование паролей, усилить защиту электронной почты и настороженно относиться к поддельным сообщениям, в которых используется то же имя пользователя, что и в игровых аккаунтах. Если старые игровые пароли используются на других платформах, их необходимо немедленно сменить. Если аккаунт принадлежит ребенку, родителю следует проверить способы восстановления доступа, закрыть старые аккаунты и объяснить ребенку краткие и понятные правила безопасности, касающиеся передачи доступа к аккаунту и поддельных сообщений о наградах.