Club Penguin Rewritten (июль 2019)

Адреса электронной почты, имена пользователей и IP-адреса из этой записи могут связать реальные контактные данные с игровой личностью пользователя. Имя пользователя может быть связано с его образом в игре и профилем в сообществе. Адрес электронной почты может использоваться для восстановления аккаунта, получения уведомлений и входа на другие платформы. IP-адрес не указывает точный физический адрес, но может дать приблизительное представление о регионе подключения, интернет-провайдере или контексте сеанса. В совокупности эти поля могут сделать поддельные игровые объявления, предупреждения о безопасности аккаунта и сообщения от сообщества более убедительными.

Хранение паролей в виде хешей bcrypt напрямую снижает риски, связанные с хранением паролей в открытом виде. Тем не менее повторное использование паролей остаётся серьёзной проблемой. Если пользователь установил один и тот же пароль для электронной почты, игрового аккаунта, социальных сетей или других игровых форумов, злоумышленники могут попытаться подобрать этот пароль или проверить его на других сервисах. Следует учитывать, что дети и юные пользователи могут выбирать простые пароли или использовать один пароль в разных играх. Поэтому проверить нужно не только аккаунт Club Penguin Rewritten, но и другие аккаунты, связанные с тем же адресом электронной почты и именем пользователя.

Подтверждённое количество затронутых аккаунтов в этой записи составляет 4 007 909. Дата инцидента указана как 27 июля 2019 года. Категории данных ограничены адресами электронной почты, IP-адресами, именами пользователей и хешами паролей bcrypt. Предыдущую утечку Club Penguin Rewritten, произошедшую в январе 2018 года, следует рассматривать отдельно: с тем инцидентом связано примерно 1,7 миллиона аккаунтов, и для него должна быть отдельная запись. Запись за июль 2019 года относится к более позднему и более масштабному инциденту.

В этой записи не подтверждено наличие настоящих имён, номеров телефонов, физических адресов, дат рождения, данных платёжных карт, банковских сведений, сообщений в чатах или истории внутриигровых покупок. Хотя Club Penguin Rewritten, игровой сервис, созданный поклонниками, эта запись содержит только подтверждённые поля, связанные с идентификацией аккаунтов и сеансов. В описание не следует включать неподтверждённые поля, такие как фотографии пользователей, документы, удостоверяющие личность, или финансовые сведения. Подтверждённый объём записи ограничивается рисками, связанными с адресами электронной почты, именами пользователей, IP-адресами и хешами паролей bcrypt.

Наибольшему риску подвержены пользователи, которые используют пароль от Club Penguin Rewritten и в других аккаунтах. Это особенно важно для юных пользователей: тот же пароль мог использоваться в разных играх, школьной электронной почте, социальных сетях или аккаунтах, которыми члены семьи пользуются на своих устройствах. Если почтовый аккаунт будет скомпрометирован, ссылки для сброса паролей других аккаунтов также могут попасть к злоумышленнику. Поэтому родителям и пользователям следует в первую очередь защитить электронную почту.

Вторая группа риска, игроки, которые используют своё игровое имя пользователя и на других платформах. Если одно и то же имя повторяется на форумах, в профилях социальных сетей или в других играх, возникает риск сопоставления профилей. Злоумышленники могут использовать эти сведения для подготовки поддельных сообщений от модераторов, предложений внутриигровых подарков и бесплатных предметов, запросов на подтверждение аккаунта или предупреждений о безопасности. IP-адрес также может сделать такие обращения более убедительными за счёт привязки к региону. В детских игровых сообществах важны и навыки безопасного общения.

Пароль от Club Penguin Rewritten не следует использовать ни в одном другом аккаунте. Пользователю или родителю нужно проверить почтовые, игровые, школьные аккаунты и аккаунты в социальных сетях, где мог использоваться тот же пароль, и установить для каждого уникальный надёжный пароль. Менеджер паролей упрощает этот процесс. Даже при использовании Bcrypt слабые или повторно используемые пароли со временем могут быть подобраны. Использовать старый пароль с небольшими изменениями небезопасно.

В почтовом аккаунте следует включить двухфакторную аутентификацию и проверить недавние сеансы. Детям и подросткам нужно объяснить, что нельзя переходить по ссылкам в сообщениях, которые якобы отправлены администратором игры или модератором, обещают бесплатные предметы, предлагают подтвердить аккаунт или предупреждают об угрозе безопасности. Настоящий администратор игры никогда не должен запрашивать пароль от электронной почты, код подтверждения или другие сведения об аккаунте пользователя. Подозрительные сообщения следует разбирать вместе с родителем или другим взрослым, которому можно доверять.

Игровые сообщества, особенно те, в которых участвуют дети и подростки, не стоит считать исключительно местом для развлечений. Через адрес электронной почты, имя пользователя и пароль аккаунты могут быть связаны с другими цифровыми профилями. Для долгосрочной защиты следует использовать отдельный пароль для каждого игрового аккаунта, а в детских аккаунтах держать включёнными родительский контроль и оповещения о безопасности. Для защиты конфиденциальности также важно, чтобы имена пользователей не содержали личных сведений и без необходимости не повторялись на разных платформах.

Для самих платформ одного надёжного способа хранения паролей недостаточно. Необходимо регулярно проверять права доступа, аккаунты администраторов, устаревшую инфраструктуру, журналы сеансов и процедуры сообщения об инцидентах. В сообществах, ориентированных на детей, безопасность пользователей и общения должна иметь повышенный приоритет. Для пользователей постоянная стратегия защиты включает уникальные пароли, безопасность почтового аккаунта, осторожное отношение к подозрительным игровым сообщениям и регулярную проверку аккаунтов при поддержке родителей.

Совпадение в этой записи означает, что соответствующий адрес электронной почты числится среди аккаунтов, связанных с утечкой данных Club Penguin Rewritten в июле 2019 года. Совпадение не означает, что настоящее имя пользователя, его адрес, платёжные сведения или содержимое чатов входят в подтверждённый объём этой записи. Подтверждённые поля, адрес электронной почты, IP-адрес, имя пользователя и хеш пароля bcrypt. Если пользователь устанавливал тот же пароль для других аккаунтов, менять пароли в них следует в первую очередь.

Родителям следует проверить, регистрировались ли дети или юные пользователи в других играх с тем же адресом электронной почты и именем пользователя. Не следует отвечать на подозрительные игровые сообщения, обещания бесплатных предметов, ссылки для подтверждения аккаунта и запросы, якобы отправленные модераторами, без проверки через официальный канал. После защиты почтового аккаунта нужно проверить сеансы в игровых аккаунтах и социальных сетях и удалить неизвестные ссылки. Даже если инцидент произошёл давно, его последствия могут сохраняться из-за повторного использования паролей.