ハッカーが子供向けゲーム「Webkinz」から2300万人のユーザー名とパスワードを流出
Webkinz ゲームは、Ganz のぬいぐるみのオンライン版として 2005 年に開始されました。
このゲームは、過去 10 年間で、Disney の Club Penguin に次いで最も成功したオンライン子供向けゲームの 1 つです。
しかし本日、匿名のハッカーが、有名なハッキング フォーラムにこのゲームのデータベースの一部を投稿しました。
オンラインにアップロードされた 1 GB のファイルには 22,982,319 組のユーザー名とパスワードが含まれており、パスワードは MD5-Crypt アルゴリズムで暗号化されています。
ハッカーは、ウェブサイトのウェブフォームに存在するSQLインジェクションの脆弱性を利用して、ゲームのデータベースにアクセスしたとされています。
ZDNetの情報によると、この脆弱性に関する詳細は、今日のリーク以前から、ハッキング フォーラムやオンラインIMチャット グループで数ヶ月間流布していました。
情報筋によると、Webkinz のスタッフは侵入を検知し、ハッカーがシステムに侵入するためのパッチを適用したとのことです。
ウェブサイトのサポートページで、Webkinz は 18 ヶ月以上アクティブでないアカウントをアーカイブしていると述べています。
「セキュリティ上の理由から、アーカイブ処理中に、ユーザー名とパスワード以外の、アカウントに関連するすべての情報を削除します」と、同社は述べています。 「
この記事を書いている時点では、ハッカーがこれらの「アーカイブされた」アカウントを盗んだのか、あるいは、流出したデータが現在アクティブなユーザーのものなのかは不明です。 Webkinz の広報担当者は ZDNet に対して、確かにウェブサイトに対する攻撃を認識していたが、それが成功したことは認識していなかったと述べ、攻撃を検知して以来「Parents Area にさらなるセキュリティを追加した」と語りました。 「
「何年か前に、データが流出する日が来ても保護できるように、暗号化技術を向上させるために特別な努力をしました。 現在、同じような攻撃が他でも通用しないように、データへの侵入経路をすべて見直しているところです。 また、流出したデータが最近のものか、価値のあるものかを見極めているところです。 もし、実際に危険にさらされているプレイヤーのアカウントがあると感じたら、パスワードの変更を強制するためにさらなる手段を講じるつもりです」と同社は述べています。