Утечка данных Webkinz

Опубликованный файл содержал имена пользователей Webkinz и хеши паролей MD5-Crypt. MD5-Crypt, это не открытый текст и не обычный MD5, однако по современным стандартам хранения паролей этот алгоритм устарел и не обеспечивает достаточной защиты от подбора паролей в автономном режиме. Если удастся восстановить короткий, распространённый или предсказуемый пароль, под угрозой могут оказаться и все другие аккаунты, в которых он используется. Согласно сообщениям, хешированные значения адресов электронной почты родителей были получены отдельно, но в файле, опубликованном в открытом доступе, их не было. Поэтому адреса электронной почты не следует включать в число подтверждённых типов раскрытых данных. На тот момент компания заявила, что для аккаунтов Webkinz никогда не запрашивались адреса, номера телефонов или фамилии и что эти аккаунты не были связаны с данными аккаунтов eStore. Нет подтверждённых оснований утверждать, что опубликованный файл содержал платёжные реквизиты или сведения, позволяющие установить реальную личность пользователей.

Согласно сообщениям, проникновение произошло в начале апреля 2020 года. Точный день не был раскрыт, поэтому 1 апреля используется как условная дата, обозначающая месяц происшествия. В расследовании, опубликованном 18 апреля, говорилось, что исследователи помогли получить и проверить копию файла, содержавшего 22 982 319 пар «имя пользователя, пароль». Источники, на которые ссылалось расследование, сообщили, что злоумышленник воспользовался уязвимостью для SQL-инъекции в форме на сайте, а сотрудники Webkinz обнаружили и устранили уязвимость, через которую было совершено проникновение. 19 апреля компания заявила, что ей известно о сообщении о предполагаемой утечке, что она проводит расследование, и посоветовала пользователям, обеспокоенным ситуацией, сменить пароли. Затем в официальном обновлении безопасности от каждого игрока потребовали однократно изменить пароль аккаунта перед входом. Хотя сведения о способе первоначального доступа подтверждаются заслуживающими доверия публикациями, подробный отчёт компьютерно-технического расследования или итоговый публичный отчёт компании об инциденте найти не удалось.

В первую очередь утечка затрагивает нынешних и бывших игроков, у которых был аккаунт Webkinz до апреля 2020 года. Любой, кто использовал то же имя пользователя и пароль в другой игре, социальной сети или почтовом аккаунте, может столкнуться с попытками подстановки учётных данных, автоматизированной проверки скомпрометированных пар «имя пользователя, пароль» на других сервисах. Поскольку среди игроков есть дети, смену пароля и восстановление доступа следует проводить вместе с родителем или опекуном. Имя пользователя не обязательно совпадает с настоящим именем, поэтому записи не следует автоматически связывать с личностью конкретного ребёнка. Тем не менее имя пользователя может помочь злоумышленникам выдавать себя за игрока внутри игры, отправлять поддельные сообщения от службы поддержки или пытаться захватить аккаунт. Наличие адресов электронной почты в опубликованном файле не подтверждено, поэтому этот инцидент сам по себе не следует представлять как подтверждённую утечку электронных адресов или списка для фишинговых рассылок.

Если у вас есть аккаунт Webkinz и вы не меняли его пароль после 2020 года, задайте новый уникальный пароль через официальную страницу входа. Замените такой же или похожий пароль везде, где он использовался, в первую очередь в связанном почтовом аккаунте, игровых магазинах и аккаунтах родителей. Для детского аккаунта создайте новый пароль вместе с родителем или опекуном, объясните, что его нельзя никому сообщать, и обсудите поддельные обращения от службы поддержки. Если доступ утрачен, пользуйтесь только официальными каналами поддержки; никогда не публикуйте пароль, имя питомца или сведения для восстановления доступа на форуме или в сообщениях. Проверьте активные сеансы, привязанный адрес электронной почты и неожиданные изменения в аккаунте. Рассматривайте аккаунт eStore отдельно: компания заявила, что он не был связан с данными аккаунтов Webkinz, поэтому не следует предполагать, что платёжные данные eStore содержатся в этом файле.

Отдельный пароль для каждого сервиса не позволяет использовать восстановленный игровой пароль для доступа к другим аккаунтам. Семьи могут хранить отдельные записи для детских аккаунтов в менеджере паролей и периодически проверять адрес электронной почты для восстановления доступа. Даже если Webkinz не предлагает многофакторную аутентификацию, включите её в важных связанных сервисах, например в почтовых аккаунтах и аккаунтах игровых магазинов. Не забывайте о старых аккаунтах: обратитесь в официальную службу поддержки, чтобы закрыть или удалить те, которые больше не нужны. Детей следует учить не сообщать пароли людям, обещающим игровые подарки или бесплатные подписки, и показывать подозрительные сообщения взрослым. Для операторов сервисов долгосрочную защиту обеспечивают параметризованные запросы, современные алгоритмы хеширования паролей, регулярное тестирование на проникновение, минимизация собираемых данных и понятное информирование об инцидентах.

Поскольку в этой записи об утечке Webkinz нет подтверждённых адресов электронной почты, поиск в LeakData только по электронному адресу может не показать совпадение с Webkinz. Отсутствие результатов не доказывает, что аккаунта, использовавшегося до 2020 года, не было в файле с именами пользователей и паролями. Самый безопасный способ проверки, выяснить, был ли у вас аккаунт в то время и используется ли его старый пароль в каком-либо другом сервисе. Никогда не вводите сам пароль в поисковые формы, на форумах или сторонних сайтах. Если у вас есть аккаунт Webkinz, воспользуйтесь официальными средствами сброса пароля и каналами поддержки, а затем защитите каждый другой аккаунт, в котором использовался старый пароль, отдельным уникальным паролем.