Filtran 46 millones de cuentas de popular sitio para niños

El inmensamente popular parque infantil en línea Animal Jam ha sufrido una infracción de datos que afectó a 46 millones de cuentas.

Animal Jam es un mundo virtual creado por WildWorks, donde los niños pueden jugar juegos en línea con otros miembros. Dirigido a niños de 7 a 11 años, Animal Jam tiene más de 300 millones de avatares de animales creados por niños. En el sitio, un nuevo jugador que se registra cada 1.4 segundos.

Ayer, un actor de amenazas compartió dos bases de datos que pertenecen a Animal Jam de forma gratuita en un foro de hackers. Según afirmó, fueron obtenidas por ShinyHunters, un conocido hacker de sitios web.

Las dos bases de datos robadas se titulan ‘game_accounts’ y ‘users’ y contienen aproximadamente 46 millones de registros de usuarios robados.

Como parte del lanzamiento gratuito, el actor de amenazas compartió solo una base de datos parcial. Esta base de datos contiene aproximadamente 7 millones de registros de usuarios de niños/padres que se registraron en el juego. 

Según los registros de tiempo en los registros de muestra observados, la base de datos probablemente fue robada el 12 de octubre de 2020.

Transparencia total de WildWorks

En lo que debería considerarse un modelo de notificación transparente de una violación de datos, WildWorks informó oportunamente. La empresa afirma que se enteraron de la infracción esta mañana y la han estado investigando activamente.

El CEO de WildWorks, Clary Stacey, dijo que cree que los actores de amenazas obtuvieron la clave AWS de WildWork. Esto después de comprometer el servidor Slack de la compañía. Cuando ocurrió la infracción, se solucionó rápidamente, pero no sabían que se robaron datos en ese momento.

Después de enterarse de la base de datos robada, su investigación reveló que los actores de amenazas obtuvieron acceso a bases de datos que contenían:

• 46 millones de nombres de usuario de jugadores, que son moderados por humanos para asegurarse de que no contengan el nombre propio de un niño.
• 46 millones de contraseñas con hash SHA1. Aunque hay afirmaciones de que se han descifrado 13 millones de contraseñas, WildWorks no ha podido confirmar si esto es cierto. Tampoco han confirmado si las contraseñas están salteadas y con hashing.
• Se incluyen aproximadamente 7 millones de direcciones de correo electrónico de padres cuyos hijos se registraron en cuentas de Animal Jam.
• Direcciones IP utilizadas por el padre o el jugador cuando se registraron para obtener una cuenta. En las muestras observadas, todos los registros incluían una dirección IP.
• 7 millones de direcciones de correo electrónico asociadas a cuentas.
• 116 de estos registros (todos de 2010) también incluyen el nombre y la dirección de facturación de los padres. Sin embargo, no incluye ninguna otra información de la tarjeta de crédito.
• Un pequeño subconjunto de los registros puede incluir el sexo y la fecha de nacimiento que el jugador ingresó al crear su cuenta. De ellos, la mayoría solo tiene el año de nacimiento. 

Gravedad del incidente

Aunque la cantidad de registros robados es bastante grande al parecer no es tan grave. Stacey afirma que es un pequeño subconjunto del número total de cuentas de usuarios de Animal Jam registradas desde 2010. Animal Jam ahora tiene más de 130 millones de jugadores registrados y 3.3 millones de usuarios activos mensuales.

Como precaución, todos los usuarios de Animal Jam deberán restablecer su contraseña en el próximo inicio de sesión.

Stacey declaró que están preparando un informe para el Grupo de Trabajo Cibernético del FBI y notificando a todos los correos electrónicos afectados. También han creado una ‘Alerta de violación de datos‘ en su sitio para responder preguntas relacionadas con esta violación.

“WildWorks es una empresa pequeña, pero nos tomamos muy en serio la seguridad de los jugadores. Estamos profundamente preocupados por conocer esta infracción, aunque aliviados de que no se haya expuesto información confidencial. Por ejemplo, contraseñas de texto plano o nombres reales de niños en este robo”. Declaraciones de Stacey

WildWorks afirmó que seguirían siendo transparentes sobre los datos expuestos y que, si se obtiene alguna información nueva de su investigación, se revelará.

¿Qué deben hacer los usuarios de Animal Jam?

Si tú o tu hijo son usuarios de Animal Jam, deben cambiar inmediatamente la contraseña de la cuenta.

Si esa contraseña la usas en cualquier otro sitio, también debe cambiarse a una contraseña única.

El uso de contraseñas únicas en cada sitio en el que tienes una cuenta es importante. Esto evita que una violación de datos en un sitio te afecte en otros sitios web que utilizas.

También es un excelente momento para presentarle a tu hijo un administrador de contraseñas. Esto para que se acostumbre a utilizar contraseñas únicas y sólidas en cada sitio que utilice. Esta práctica les ahorrará muchos dolores de cabeza en el futuro.

Dado que estos datos se pueden utilizar en ataques de phishing dirigidos a niños, también es esencial controlar las cuentas de tus hijos. Debes estar pendiente y buscar correos electrónicos sospechosos.