Webkinz 数据泄露

公开的文件包含 Webkinz 用户名和MD5-Crypt 密码哈希值。MD5-Crypt 并非明文，也不等同于原始 MD5，但按照现代密码存储标准，它已过时，无法充分抵御离线密码猜测。如果某个简短、常见或容易预测的密码被还原，所有使用相同密码的其他账户也可能面临风险。据报道，家长电子邮箱地址的哈希值是另行获取的，并未包含在公开发布的文件中。因此，不应将电子邮箱地址列为经核实的泄露数据类型。当时，该公司表示，Webkinz 账户从未要求用户提供地址、电话号码或姓氏，也未与 eStore 账户数据关联。没有经核实的依据可以证明，公开的文件中包含支付详情或现实身份记录。

据报道，入侵发生于2020年4月初；由于具体日期未公开，4月1日仅用作标示该月份的参考日期。4月18日发布的一篇调查报道表示，研究人员协助获取并核实了该文件的副本，其中包含 22,982,319 组用户名与密码配对记录。该报道援引的消息来源称，攻击者利用了网站表单中的 SQL 注入漏洞，Webkinz 工作人员随后发现并修补了这一入侵入口。4月19日，该公司表示已获悉有关疑似数据泄露的报道，正在调查，并建议有顾虑的用户修改密码。随后发布的官方安全更新要求所有玩家在登录前先更新一次账户密码。虽然有关最初入侵方式的说法有可信报道支持，但未找到该公司发布的详细取证报告或最终公开事件报告。

受到最直接影响的是在2020年4月之前已拥有 Webkinz 账户的玩家，无论他们现在是否仍在玩这款游戏。在其他游戏、社交平台或电子邮箱账户上重复使用同一用户名和密码的人，可能遭遇撞库尝试。由于玩家群体包括儿童，密码修改和账户恢复应在家长或监护人的协助下进行。用户名不一定是真实姓名，因此不应自动将这些记录与某个儿童的具体身份关联。即便如此，用户名仍可能被用于在游戏中冒充他人、发送虚假客服消息或尝试接管账户。电子邮箱地址并非公开文件中经核实的字段，因此，不应仅凭此次事件就认定电子邮箱地址已泄露，或将该文件描述为可用于钓鱼的邮箱地址名单。

如果您有 Webkinz 账户，且在2020年之后未更新过密码，请通过官方登录页面设置一个全新且不与其他账户共用的密码。在其他使用过相同或相似密码的服务上，也应更换密码，优先处理关联的电子邮箱账户、游戏商店账户和家长账户。如果是儿童账户，应由孩子与家长或监护人共同设置新密码，说明密码不能与他人分享，并讨论如何识别虚假客服请求。如果已无法访问账户，请仅使用官方支持渠道；切勿在论坛或消息中发布密码、宠物名称或账户恢复信息。检查当前有效的登录会话、绑定的电子邮箱地址，以及账户中是否有非预期的变更。应单独处理 eStore 账户：该公司表示，eStore 与 Webkinz 账户数据没有关联，因此不应推定此文件包含 eStore 支付信息。

为每项服务使用不同的密码，可以避免游戏密码被还原后波及其他账户。家庭可以在密码管理器中为儿童账户分别保存条目，并定期核对用于账户恢复的电子邮箱地址。即使 Webkinz 不提供多因素身份验证，也应在电子邮箱和游戏商店账户等重要关联服务上启用这一功能。不要忽略旧账户；对于不再需要的账户，请联系官方支持，申请关闭或删除。应教导儿童，不要向承诺赠送游戏内礼物或免费会员资格的人透露密码，并将可疑消息交给成年人查看。对于服务运营方，参数化查询、现代密码哈希技术、定期渗透测试、数据最小化以及清晰的事件沟通，都能提供长期防护。

由于这份 Webkinz 泄露记录中没有经核实的电子邮箱地址，在 LeakData 中仅凭电子邮箱地址搜索，可能不会显示 Webkinz 匹配结果。搜索结果为空，并不能证明您在2020年之前使用过的账户不在这份用户名与密码文件中。最稳妥的核查方式是确认自己当时是否有账户，以及该账户的旧密码是否仍在其他服务上使用。切勿将密码本身输入搜索表单、论坛或第三方网站。如果您有 Webkinz 账户，请通过官方密码重置和支持渠道处理，再为所有重复使用过旧密码的其他账户分别设置独一无二的密码。