Club Penguin Rewritten（2019年7月）
Club Penguin Rewritten（2019年7月）数据泄露记录涉及这款独立粉丝自制游戏的第二次重大安全事件，事件发生于2019年7月27日。本记录涉及4,007,909个受影响账户。同一平台此前还在2018年1月发生过另一起规模较小的数据泄露，因此，本记录的范围应严格限定于2019年7月的事件。两起事件涉及的数据类型相似，但事件日期、记录数量及对用户的影响应分别评估。
暴露的数据类型
4- 电子邮箱地址
- IP 地址
- 密码
- 用户名
关于此次数据泄露
已核实的数据类别包括电子邮箱地址、IP地址、用户名和密码。密码并非以明文存储，而是以bcrypt哈希形式存储。与明文存储或使用弱哈希相比，bcrypt更安全；但如果用户选择了简短、容易预测或重复使用的密码，风险仍无法完全消除。Club Penguin Rewritten是一个也吸引儿童和年轻用户的游戏社区，因此，家长和用户需要更加重视账户安全。
泄露的数据类型与风险
本记录中的电子邮箱地址、用户名和IP地址可能将真实联系信息与玩家身份关联起来。用户名可能与游戏内身份及社区个人资料相关联。电子邮箱地址可用于账户找回、接收通知以及登录其他平台。IP地址并不能直接提供实体地址，但可能提供有关连接所在地区、服务提供商或会话背景的大致线索。这些字段结合使用时，可能使虚假的游戏公告、账户安全提醒和社区消息更具可信度。
以bcrypt哈希形式存储密码，可直接降低明文密码带来的风险。不过，重复使用密码仍是一个严重问题。如果用户在电子邮箱、游戏、社交媒体或其他游戏论坛账户中使用了同一个密码，攻击者可能尝试猜出该密码，或在其他服务上尝试使用它。还应考虑到儿童和年轻用户可能选择简单密码，或在不同游戏中使用同一个密码。因此，不仅应检查Club Penguin Rewritten账户，还应检查与同一电子邮箱地址和用户名关联的其他账户。
已核实的范围与边界
本记录已核实的受影响账户数量为4,007,909个。事件日期标注为2019年7月27日。数据类别仅限于电子邮箱地址、IP地址、用户名和bcrypt密码哈希。Club Penguin Rewritten在2018年1月发生的此前那起数据泄露应与本记录分开处理；较早的事件涉及约170万个账户，应作为独立记录看待。2019年7月的这起事件发生时间更晚，规模也更大。
本记录已核实的数据类别不包括真实姓名、电话号码、实体地址、出生日期、支付卡、银行信息、聊天消息或游戏内购买记录。虽然Club Penguin Rewritten是一项粉丝自制游戏服务，但本记录仅包含与账户和会话ID相关的已核实字段。描述中不应纳入用户照片、真实身份证件或财务信息等未经核实的字段。准确的风险范围应限定于电子邮箱地址、用户名、IP地址和bcrypt密码哈希。
面临风险的用户群体
风险最高的是在其他账户中也使用Club Penguin Rewritten账户密码的用户。对年轻用户而言，这一点尤其重要，因为他们可能在不同游戏、学校电子邮箱、社交媒体账户，或家庭成员在设备上使用的账户中重复使用同一个密码。如果电子邮箱账户被攻破，其他账户的密码重置链接也可能落入攻击者手中。因此，家长和用户应优先保护电子邮箱账户。
第二类风险群体是在不同平台上也使用同一游戏内用户名的玩家。当同一个用户名出现在论坛、社交媒体个人资料或其他游戏中时，就会产生个人资料被关联匹配的风险。攻击者可以利用这些信息，编造冒充版主的消息，或以游戏内礼物、免费物品、账户验证、安全提醒等为名发送消息。IP地址也可能使这种针对性诱骗在地区层面更具可信度。在面向儿童的游戏社区中，安全的沟通习惯同样重要。
应立即采取的措施
Club Penguin Rewritten账户使用的密码不应再用于任何其他账户。用户或家长应检查可能使用过同一密码的电子邮箱、游戏、社交媒体和学校账户，并为每个账户设置独立且强度高的密码。使用密码管理器可以简化这一过程。即使使用了Bcrypt，弱密码或重复使用的密码也可能随着时间推移被猜出。对旧密码稍作修改后再次使用并不安全。
应为电子邮箱账户启用双因素身份验证，并检查近期会话记录。应提醒儿童或青少年用户，不要点击冒充游戏管理员或版主，或以免费物品、账户验证、安全提醒为名发送的消息中的链接。真正的游戏管理员绝不应索要用户的电子邮箱密码、验证码或其他账户信息。可疑消息应与家长或可信赖的成年人一起核查。
长期安全策略
游戏社区不应仅被视为娱乐场所，尤其是在涉及儿童和青少年用户时。账户可能通过电子邮箱地址、用户名和密码与其他数字身份关联。从长期来看，每个游戏账户都应使用不同的密码，并应保持儿童账户的家长控制和安全提醒功能开启。为保护隐私，用户名不应包含个人信息，也不应在不同平台上无必要地重复使用。
对平台而言，仅采用安全性较高的密码存储方式还不够。应定期检查访问权限、管理员账户、旧有基础设施、会话日志和事件报告流程。在面向儿童的社区中，用户安全和沟通安全应得到更高优先级。从用户角度看，长期策略包括使用独立密码、保护电子邮箱账户、警惕可疑游戏消息，以及在家长支持下定期检查账户。
记录核查与用户行动
在本记录中查到匹配结果，表明相应电子邮箱地址属于与Club Penguin Rewritten在2019年7月发生的数据泄露相关的账户。匹配结果并不意味着用户的真实姓名、住址、支付信息或聊天内容包含在本记录已核实的范围内。已核实的字段是电子邮箱地址、IP地址、用户名和bcrypt密码哈希。如果用户在其他账户中使用了同一个密码，应优先更改这些账户的密码。
家长应检查儿童或年轻用户是否使用同一电子邮箱地址和用户名注册过其他游戏。对于可疑游戏消息、免费物品承诺、账户验证链接，以及看似来自版主的请求，在通过官方渠道核实之前，不应回应。确保电子邮箱账户安全后，应检查游戏和社交媒体账户的会话记录，并移除未知链接。即使这起事件发生已久，重复使用密码仍可能使其影响持续存在。
