Утечка данных The Club Penguin Experience

В этом инциденте перечислены следующие типы данных: возрастные группы, адреса электронной почты, подсказки к паролям, пароли и имена пользователей. Подсказки могут облегчить подбор паролей, даже если те хранятся в виде стойких хешей. Связь нескольких полей с одним пользователем может сделать более убедительными попытки злоумышленников использовать поддельные уведомления, восстановление доступа к аккаунту, социальную инженерию или сопоставление идентификационных данных.

По имеющимся признакам, пароли хранятся в виде хешей bcrypt, а некоторые записи содержат подсказки к паролям в открытом виде. Если среди полей есть пароль, подсказка к нему, личное сообщение, официальные идентификационные данные, финансовая информация, местоположение или фотография профиля, риск не ограничивается почтовым спамом. Даже в записях без паролей номер телефона, адрес, IP, дата рождения или информация из профиля в социальной сети могут использоваться для целевых атак.

Запись охватывает примерно 6 300 аккаунтов подписчиков, связанных с доменом thecpexperience.com. Инцидент относится к категории подтвержденных записей. При описании охвата отдельно проверялись число аккаунтов, домен, страна, отрасль и категории данных. Типы данных, которых нет в перечне, не представлены пользователю так, будто они присутствуют.

Отрасль была исправлена: это фанатские игры и виртуальные миры, а не розничная торговля. В некоторых случаях ответ компании приводится в разных контекстах, например в связи со сторонним сервисом, аккаунтом на форуме, списком рассылки или профилем пользователя. Такие записи разграничены без дублирования, с сохранением реального контекста сервиса, к которому относится событие.

В зоне риска находятся пользователи The Club Penguin Experience, люди, использующие то же имя пользователя в других играх, а также аккаунты, подсказки к паролям которых были раскрыты. Основной риск для этих пользователей заключается в том, что утекшие данные можно сопоставить с информацией, используемой на других платформах. Если один и тот же адрес электронной почты, имя пользователя, номер телефона, IP, адрес или пароль используется в разных аккаунтах, злоумышленники могут воспользоваться этими общими идентификаторами.

Игровая тематика может использоваться в поддельных сообщениях о продлении подписки, предметах для персонажей, приглашениях на мероприятия или проверке аккаунта. Риски различаются в зависимости от контекста: форумы, игры, рецепты, услуги размещения, энергетика, билеты на мероприятия, рассылки, социальные сети и финансы. Пользователю следует учитывать не только поля данных, но и то, с каким сервисом они связаны.

Затронутым пользователям следует сменить пароли и подсказки к ним, а если такие же подсказки используются в других аккаунтах, обновить и их. Если пароль или подсказка к нему были раскрыты, пользователям следует изменить их во всех аккаунтах, где используется тот же или похожий пароль, установить уникальные пароли и по возможности включить многофакторную аутентификацию. Также следует проверить безопасность почтового аккаунта.

Если запись содержит номер телефона, адрес, местоположение, дату рождения, личное сообщение, профиль в социальной сети или финансовую информацию, пользователям следует проверить способы восстановления доступа к аккаунту, историю сеансов, правила переадресации и подозрительные уведомления. Людям с корпоративными или общедоступными профилями также следует учитывать риск целевых сообщений и ущерба репутации.

В играх с юными пользователями важны осведомленность родителей, уникальные пароли и привычка не использовать подсказки к паролям. В долгосрочной перспективе базовыми мерами защиты служат менеджер паролей, уникальные пароли, многофакторная аутентификация, закрытие старых аккаунтов и сокращение избыточной информации в профиле. Поскольку неизменяемые персональные данные нельзя заменить, следует уделять больше внимания безопасному поведению и настройкам аккаунтов.

Для организаций такие события показывают необходимость регулярно проверять доступ к файлам резервных копий, права аккаунтов на форумах, данные подписчиков рассылок, сроки хранения клиентских данных и процедуры уведомления. Пользователям устойчивую защиту помогают обеспечить отказ от повторного использования одних и тех же идентификационных данных в разных сервисах и проверка неожиданных сообщений через другой канал связи.

Если эта запись относится к вам, следует проверить, не повторяются ли пароли в игровых и почтовых аккаунтах. При обнаружении совпадения сначала ознакомьтесь с перечнем полей данных, а затем определите порядок действий. Если в записи есть пароль, в первую очередь следует сменить его; если финансовые данные, следить за операциями по счетам; если личные сообщения или профиль в социальной сети, проверить конфиденциальность; если данные о местоположении, оценить физическую безопасность.

Итоговая оценка: этот инцидент с игровыми аккаунтами связан с утечкой чувствительных данных, поскольку запись содержит возрастную группу, подсказку к паролю и пароль. Пользователю следует сопоставить эту запись с историей своих аккаунтов и отдельно проверить сервисы, где используются тот же адрес электронной почты, номер телефона, имя пользователя, адрес или пароль. После инцидента подозрительные поисковые запросы, электронные письма, сообщения или уведомления о восстановлении доступа к аккаунту следует считать более рискованными.