Το Animal Jam, ο δημοφιλής “εικονικός κόσμος” για παιδιά, υπέστη παραβίαση δεδομένων που επηρέασε 46 εκατομμύρια λογαριασμούς.
Το Animal Jam δημιουργήθηκε από την WildWorks και επιτρέπει σε παιδιά να παίξουν διαδικτυακά παιχνίδια με άλλα μέλη. Απευθύνεται σε ηλικίες 7 έως 11 ετών και έχει πάνω από 300 εκατομμύρια animal avatars που δημιουργήθηκαν από παιδιά. Σύμφωνα με την εταιρεία, κάθε 1,4 δευτερόλεπτα εγγράφεται ένας νέος παίκτης.
Προχθές, ένας εγκληματίας του κυβερνοχώρου δημοσίευσε δύο βάσεις δεδομένων, οι οποίες λέει ότι ανήκουν στο Animal Jam. Οι βάσεις δεδομένων διέρρευσαν σε ένα hacking forum και λέγεται ότι ελήφθησαν από τη ShinyHunters, μια hacking ομάδα που είναι γνωστή για την παραβίαση sites.
Οι δύο κλεμμένες βάσεις δεδομένων έχουν τίτλο “game_accounts” και “users” και περιέχουν περίπου 46 εκατομμύρια κλεμμένα αρχεία χρηστών.
Με βάση τα δείγματα που είδε το BleepingComputer, η κλοπή έγινε πιθανότατα στις 12 Οκτωβρίου 2020.
Πλήρης διαφάνεια από τη WildWorks
Η WildWorks είπε στο BleepingComputer ότι έμαθε για τη διαρροή χθες το πρωί και ξεκίνησε αμέσως έρευνα για το περιστατικό.
Σύμφωνα με τη CEO της WildWorks, Clary Stacey, οι επιτιθέμενοι έλαβαν πιθανότατα το κλειδί AWS της WildWork αφού παραβίασαν τον Slack server της εταιρείας.
Η εταιρεία έμαθε χθες για τις κλεμμένες βάσεις δεδομένων και η έρευνά της έδειξε ότι οι hackers είχαν πρόσβαση στα εξής δεδομένα:
- 46 εκατομμύρια ονόματα παικτών του Animal Jam (τα οποία ελέγχονται ώστε να είναι σίγουρο ότι δεν χρησιμοποιούνται στοιχεία του παιδιού).
- 46 εκατομμύρια SHA1 hashed passwords. Έχει ακουστεί ότι 13 εκατομμύρια κωδικοί πρόσβασης έχουν σπάσει, αλλά η WildWorks δεν έχει βρει ακόμα στοιχεία.
- Περίπου 7 εκατομμύρια διευθύνσεις email γονέων (των οποίων τα παιδιά είχαν εγγραφεί σε λογαριασμούς Animal Jam).
- Διευθύνσεις IP που χρησιμοποιούνται από τον γονέα ή τον παίκτη κατά την εγγραφή τους σε λογαριασμό (Στα δείγματα που είδε το BleepingComputer υπήρχε διεύθυνση IP).
- 7 εκατομμύρια διευθύνσεις email που σχετίζονται με λογαριασμούς.
- 116 από αυτά τα δεδομένα (όλα από το 2010) περιλαμβάνουν το όνομα και τη διεύθυνση χρέωσης του γονέα (άλλα δεν έχουν διαρρεύσει στοιχεία πιστωτικής κάρτας).
- Επίσης, μπορεί να έχουν διαρρεύσει στοιχεία, όπως φύλο και ημερομηνία γέννησης.
Ο αριθμός των κλεμμένων στοιχείων είναι αρκετά μεγάλος, αλλά σύμφωνα με τη Stacey, είναι ένα μικρό μόνο τμήμα του συνολικού αριθμού λογαριασμών στο Animal Jam (με βάση τους χρήστες που έκαναν εγγραφή από το 2010 και μετά). Το Animal Jam έχει πάνω από 130 εκατομμύρια εγγεγραμμένους παίκτες και 3,3 εκατομμύρια μηνιαίους χρήστες.
Προληπτικά, όλοι οι χρήστες του Animal Jam θα πρέπει να επαναφέρουν τον κωδικό πρόσβασής τους.
Η Stacey δήλωσε ότι ετοιμάζει μια αναφορά για το FBI. Επίσης, στο site της εταιρείας υπάρχει μια “Προειδοποίηση παραβίασης δεδομένων“, όπου μπορούν να απαντηθούν ερωτήσεις που σχετίζονται με αυτήν την παράβαση.
“Η WildWorks είναι μια μικρή εταιρεία, αλλά λαμβάνουμε σοβαρά υπόψη την ασφάλεια των παικτών. Ανησυχούμε πολύ γι’ αυτήν την παραβίαση, αν και ανακουφιστήκαμε καθώς δεν εκτέθηκαν ευαίσθητες πληροφορίες όπως κωδικοί πρόσβασης σε απλό κείμενο ή τα πραγματικά ονόματα παιδιών“, είπε η Stacey στο BleepingComputer.
Η εταιρεία πίσω από το Animal Jam είπε ότι η διαφάνεια σε τέτοια θέματα είναι πολύ σημαντική και ότι θα συνεχίζει να παρέχει πληροφορίες, με βάση την έρευνά της.
Τι πρέπει να κάνουν οι χρήστες Animal Jam;
Οι χρήστες του Animal Jam (ενήλικες ή παιδιά), θα πρέπει να αλλάξουν αμέσως τον κωδικό πρόσβασης του λογαριασμού τους. Επιπλέον, αν ο ίδιος κωδικός χρησιμοποιείται και σε άλλο site ή εφαρμογή, θα πρέπει να γίνει αλλαγή και εκεί. Είναι σημαντικό να χρησιμοποιούνται μοναδικοί και ισχυροί κωδικοί πρόσβασης για να αποτρέπονται οι παραβιάσεις.
Επίσης, καλό είναι να χρησιμοποιείται ένας password manager (αυτό πρέπει να το μάθει και το παιδί).
Τέλος, αυτές οι παραβιάσεις δεδομένων μπορούν να οδηγήσουν σε phishing επιθέσεις. Επομένως, οι χρήστες θα πρέπει να ελέγχουν τους λογαριασμούς (και των παιδιών τους) για ύποπτα emails.