Durante mucho tiempo, fácilmente a finales de 2006, antes de multiplicarse por diez en 2008 y de ocurrir en los próximos años, ha habido una parte de Club Penguin de la que realmente no se oye mucho. De hecho, es posible que ni siquiera sepas que existe. Ese mundo está hackeando viejas y raras cuentas de pingüinos, y luego haciendo que la cuenta sea tuya o vendiéndola con fines de lucro. Mi viejo amigo Pablo fue una de las personas más activas en la comunidad de descifrado de cuentas de Club Penguin y ha tenido la amabilidad de tomarse el tiempo para explicarle todo, revelando cómo se hizo.

Estimaría que los orígenes de la escena del cracking de cuentas de Club Penguin se remontan a finales de 2006, ya que es cuando los pingüinos raros recibían tratamiento real de los jugadores más nuevos y la gente quería acceder a estas cuentas antiguas. Si tu cuenta de penguin tenía artículos antiguos de finales de 2005 o 2006, se te consideraba raro y la gente intentaría ser tu amigo solo por los artículos que tenías. En otras palabras, el materialismo es una gran cosa.

En este período de tiempo no había ninguna herramienta programada para la tarea de descifrar contraseñas de Club Penguin, por lo que todo tenía que hacerse manualmente. Tenías que idear el nombre de usuario de un pingüino raro al que querías intentar adivinar la contraseña, y luego idear algunas posibles contraseñas para probar. Las conjeturas de contraseña más comunes eran el nombre de usuario del pingüino, «12345», «contraseña» o «pingüino». Lo creas o no, muchas cuentas en realidad tenían estas contraseñas muy fáciles. Sin embargo, con el tiempo se probaron más contraseñas potenciales, como «fútbol», «fútbol», etc., lo que abrió el camino a aún más cuentas. Sin embargo, tenía que ser táctico, ya que después de cinco intentos de inicio de sesión incorrectos, temporalmente no pudo probar más intentos de inicio de sesión durante una hora.

A principios de 2008, un jugador de Club Penguin llamado Microchip123 entró en la escena de las trampas. Era la persona detrás de los populares entrenadores de Fuego y Tormenta de Pingüinos, además de un creador de dinero. Sin embargo, ninguna de estas cosas era importante para las personas que descifraban contraseñas. El blog de Microchip, sin embargo, tenía algo de utilidad para ellos. De alguna manera, compiló una lista de las primeras 100.000 cuentas de pingüinos registradas, que se extendieron desde agosto de 2005 hasta aproximadamente diciembre de 2005 o enero de 2006. Sin embargo, la lista no se acerca a las 100.000 líneas, ya que Club Penguin elimina las cuentas inactivas. De las 100.000 cuentas registradas originales, poco más de 7.000 aún existían cuando Microchip ejecutó su herramienta para compilar la lista de identificación unos dos años y medio después del debut de Club Penguin.

Esta lista de los aproximadamente 7000 pingüinos fue un regalo del cielo para aquellos que querían adivinar contraseñas de pingüinos raros. Después de todo, ahora tenían una lista completa de los pingüinos más viejos para elegir y adivinar contraseñas. Estas personas que intentaban averiguar las contraseñas de las cuentas pasaban horas al día revisando los pingüinos de la lista e intentando averiguar qué era cada contraseña. Comenzarían con el nombre de usuario básico, 12345, o contraseñas de pingüino, antes de pasar a otras como clubpenguin, los nombres de deportes o alguna otra palabra común como computadora.

Hubo una participación decente de inicios de sesión correctamente adivinados a los pingüinos en la lista de identificación de Microchip. Sin embargo, no se detuvo ahí. En julio de 2010, un usuario llamado Jadencide publicó su N-R-G Cracker v2 en el sitio web de Hackforums. Esta herramienta, combinada con la lista de identificación de pingüinos de Microchip123, fue la mejor herramienta para descifrar cuentas de pingüinos. Sin embargo, N-R-G Cracker no se centró solo en Club Penguin. El programa con publicidad también tenía la capacidad de descifrar las cuentas en línea de Piratas del Caribe y Toon Town. La forma en que funcionó fue simple. Le diste al programa una lista de nombres de usuario para probar, también conocida como la lista de Microchip123, y también una lista de contraseñas para probar en cada pingüino. Fue capaz de eludir la restricción de cinco intentos de inicio de sesión por hora, lo que lo convirtió en un programa de fuerza bruta efectivo que podía ejecutarse todo el día, recorriendo cada nombre de usuario e intentando cada contraseña especificada en esas cuentas. Hay listas grandes que puedes encontrar en línea que contienen todas las palabras del diccionario. Estos son los tipos de listas de contraseñas que las personas que intentan descifrar cuentas usarían para averiguar las combinaciones de inicio de sesión de estos viejos pingüinos.

La galleta N-R-G no era perfecta. Para empezar, fue lento. Solo fue capaz de hacer un inicio de sesión por segundo. Claro, eso son 60 intentos por segundo, 3.600 intentos en una hora u 86.4000 intentos en un día, pero teniendo en cuenta el hecho de que la Segunda edición del Diccionario Oxford de Inglés de 20 volúmenes contiene entradas para más de 150.000 palabras, eso es aproximadamente dos días de adivinar la contraseña de cada palabra en el diccionario para una sola cuenta si adivinara cada palabra como la contraseña de una sola cuenta a razón de un intento por segundo.

El cracker N-R-G continuó funcionando y siendo utilizado por los jugadores hasta enero de 2011, cuando Disney parcheó el exploit que estaba utilizando el programa de cracking. Sin embargo, Jadencide tenía más trucos bajo la manga. Lanzó públicamente un nuevo programa, CP Cracker, un mes más tarde, en febrero de 2011. Funcionó igual que la galleta N-R-G. Le proporcionaste una lista de nombres de usuario y contraseñas y probaría todas las contraseñas especificadas en cada cuenta de Penguin. El programa enumeraba los nombres de usuario y las contraseñas que estaba intentando, además de que había una columna en la que se enumeraban las cuentas descifradas con éxito. También puede guardar una lista de las contraseñas rotas en un archivo de texto.

El programa, aunque lento, hizo el trabajo. Los crackers de cuentas que usan este software no se preocuparon demasiado por la velocidad. Siempre y cuando descifraran con éxito algunas contraseñas de pingüinos raros, eran felices. El siguiente video muestra el Cracker CP de Jadencide en ejecución. Hace un buen trabajo al mostrarte la velocidad de la misma.

Los tipos de personas que usaban el programa CP Cracker tenían diferentes razones para hacerlo. Algunos lo hicieron por el bien de vender las cuentas para ganar algo de dinero. Otros lo hicieron para poder tener sus propias cuentas de pingüinos raros. Algunos eran simplemente curiosos o aburridos y solo querían probarlo y no hacer nada más con cualquier entrada de cuenta ganada.

Jadencide no fue el único en hacer un programa de craqueo de Club Penguin. A finales de 2012, alguien llamado Myles lanzó el suyo propio. A diferencia de los programas de Jadencide que estaban codificados en Visual Basic, Myles programó el suyo en Java. No solo eso, sino que Myles no distribuía el suyo de forma gratuita como el de Jadencide. Tenías que pagarle a Myles 6 60 o 15,000 XATs (moneda de la sala de chat) por él, un precio que subió poco después de su lanzamiento inicial. La protección de copia también se incluyó en el programa, donde las copias no autorizadas no funcionarían. Eso significa que si alguien compró el cracker de Myles y envió el programa a un amigo para que lo usara también, no se ejecutaría en la computadora del amigo porque no pagó por su propia copia. Sin embargo, en mis pruebas, el esquema de protección de copia estaba mal implementado y podría eludirse muy fácilmente, aunque no se sabe si alguien más que yo se dio cuenta de esto.

En comparación con el cracker de Jadencide, el cracker de Myles era mucho más complejo en características y también mucho más rápido, lo que significaba que se podían descifrar más cuentas en menos tiempo. En cuanto a la interfaz, era muy similar a lo que hizo Jadencide. Pingüinos a la izquierda, contraseñas en el medio y pingüinos agrietados con éxito a la derecha.

Las funciones generar nombres y generar contraseñas eran algo nunca antes hecho. Puede hacer clic en el botón generar nombres e introducir un prefijo de nombre de usuario, por ejemplo, «Trainman», y luego le preguntará el número al que desea que vaya, por ejemplo, 1405. Luego agregaría Trainman1, Trainman2, Trainman3, etc., hasta Trainman1405, a la lista de nombres de usuario para que las cuentas de penguin intenten adivinar contraseñas. La función generar pases funcionó de la misma manera, pero para contraseñas en lugar de nombres de usuario. En este momento, no solo se trataba de descifrar cuentas raras de pingüinos, sino de descifrar todas y cada una de las cuentas que la gente podía tener en sus manos. El programa CPCracker de Myles también pudo comprobar si una cuenta estaba prohibida. Por ejemplo, si la contraseña de mi penguin Trainman1405 era trainman pero la cuenta estaba prohibida para siempre, el programa CPCracker aún la listaría como una cuenta rota porque el inicio de sesión funcionó. El botón eliminar cuentas prohibidas verificaría cada inicio de sesión agrietado para ver si estaba prohibido o no. Esto se hizo utilizando un defecto en el Equipo Beta de Club Penguin, donde proporcionaba el nombre de usuario y la contraseña descifrados al sistema de Club Penguin y el Equipo Beta regresaba si la cuenta estaba o no prohibida. En cuanto al botón de opciones en el programa, mostró la configuración para que se ejecutara más rápido, llamado modo turbo, y también si debía notificarle o no cuando se encontró correctamente un inicio de sesión de cuenta. La notificación fue una pequeña ventana emergente en la esquina de la pantalla. Sin embargo, la función de modo Turbo era inestable. Se saltaría probar algunos de los inicios de sesión que se especificaron para probar. Si bien se desconoce durante cuánto tiempo trabajó la galleta de Myles, sé que funcionó al menos hasta febrero de 2013, pero probablemente duró hasta más tarde en 2013.

Hay rumores de la existencia de otra galleta de Club Penguin, una que todavía funciona, pero como se conoce poca información al respecto, no puedo asegurarlo. Solo me dijeron que estaba codificado en Python, es muy lento y también se mantiene privado, lo que significa que no se comparte ni se vende en el mercado negro de Club Penguin.

Aparte de estos programas de cracker, hay otra rama que está relacionada con tomar el control de cuentas que no le pertenecen. Esta rama tiene fallas de seguridad en el sitio web de Club Penguin que se abusaron para tomar el control de las cuentas de penguin. El primer incidente se remonta a la primavera de 2008, lo que fue posible una vez que Club Penguin publicó las cuentas de los padres en abril de ese año. Conocido como hackeo de miembros, ya tenías que conocer el nombre de usuario y la contraseña de una cuenta, pero a partir de ahí podrías tomar el control total de la cuenta engañando a Club Penguin para que pensara que eras el propietario. Una vez que su sistema pensó que eras el propietario legítimo de la cuenta al tenerla bajo tu propio correo electrónico, podrías cambiar la contraseña por algo más difícil e imposible para otros.

fue bastante simple, sin embargo, costó unos pocos dólares por pingüino en el que lo hiciste. En primer lugar, el pingüino necesitaba no tener ya una cuenta para padres. Dado que las cuentas de los padres eran completamente nuevas y muchas de estas cuentas rotas estaban inactivas, es probable que no tuvieran una a menos que alguien más la hackeara antes que tú. Compraste un código de membresía y lo canjeaste en la página de membresía de Club Penguin. El formulario de activación de membresía tiene dos campos: uno para el código de membresía y otro para su dirección de correo electrónico. También se puede usar una tarjeta de crédito para comprar membresía a través del sitio web de Club Penguin.

La dirección de correo electrónico que introduzcas podría ser cualquier correo electrónico; no tenía que ser la dirección con la que se creó la cuenta de penguin. El propósito de que Club Penguin requiera una dirección de correo electrónico para canjear la membresía es enviar una factura por ella. Una vez que penguin se convirtió en miembro, tenía que iniciar sesión en la cuenta principal con esa dirección de correo electrónico, ir a la configuración para agregar un nuevo penguin a la cuenta principal y, a continuación, escribir los detalles de inicio de sesión de la cuenta penguin. Debido a que la dirección de correo electrónico con la que se canjeó la membresía coincidía con la dirección de correo electrónico de la cuenta de padres, la aceptó automáticamente y el pingüino ahora estaba bajo su propia cuenta de padres, lo que significa que tenía el control total sobre ella. Por lo general, con la opción agregar pingüino en las cuentas de padres, la dirección de correo electrónico con la que se crea el pingüino recibe un correo electrónico de confirmación, pero el hacker de miembro omitió este paso ya que cree que usted es el propietario legítimo de la cuenta.

El hackeo de miembros fue más popular hasta el lanzamiento de la primera galleta de Club Penguin de Jadencide, que se mencionó anteriormente. Durante dos años, las personas adivinaban contraseñas manualmente, y si obtenían un buen inicio de sesión en la cuenta, lo convertían en miembro y lo agregaban a su cuenta de padres para poder cambiar la contraseña y usarla como propia.

El segundo fallo de seguridad de Club Penguin que te permitía controlar las cuentas de penguin ocurrió en julio de 2012. Se lanzó una gran actualización en su página de membresía, que, en consecuencia, le mostraría la dirección de correo electrónico con la que se registró un pingüino, siempre y cuando tuviera el nombre de usuario y la contraseña de esa cuenta. Debido a que pasaron entre seis y siete años desde que se crearon inicialmente las raras cuentas de Club Penguin que se buscaban, algunas de las direcciones de correo electrónico con las que se crearon ya no existían debido a la inactividad. Aquí es donde entra en juego el defecto de seguridad. Digamos que en octubre de 2005 alguien se registró en Club Penguin con el nombre de usuario Penguin, la contraseña Penguin y la dirección de correo electrónico [email protected]. Avancemos hasta julio de 2012, cuando Club Penguin actualizó su página de membresía, todos estos años

más tarde, alguien ha descubierto la contraseña de la cuenta Penguin. El cracker de la cuenta luego quiere intentar obtenerla en su propia cuenta de padres para que puedan cambiar la contraseña a algo más seguro y también tener un control total sobre ella. Todo lo que tenían que hacer era ir a la página de membresía, iniciar sesión con el nombre de usuario y la contraseña de la cuenta, y la página de membresía de Club Penguin le daría la dirección de correo electrónico completa con la que se creó Penguin. Pero, ¿de qué sirve una dirección de correo electrónico si no tiene la contraseña, suponiendo que sea una contraseña diferente a la de la cuenta de Club Penguin? Digamos que el creador de la cuenta Penguin no la había tocado [email protected] dirección de correo electrónico desde que se unió a Club Penguin en 2005. Algunos servicios de correo electrónico como Yahoo y Hotmail eliminarán las cuentas inactivas después de un cierto período de tiempo, y porque [email protected] no había sido tocado en años, fue eliminado por inactividad y podría ser rehecho por cualquiera. Por lo tanto, puede pasar uno o dos minutos recreando la dirección de correo electrónico inactiva/eliminada, ya que sabe que pertenece a penguin Penguin, y una vez que lo haga, puede crear una cuenta para padres de Club Penguin bajo esa dirección de correo electrónico original, eliminada y luego recreada. El pingüino es entonces todo tuyo, ¡sin necesidad de canjear ningún código de membresía! Era aterrador y fácil de hacer, sin embargo, seguía siendo una cuestión de si la dirección de correo electrónico se podía recrear o no. La mayoría no podía ser, pero todavía había algunos que podían. Si el correo electrónico aún estaba activo, aún podría hacer el hackeo de miembros mencionado anteriormente; este otro método simplemente ahorró la necesidad de comprar una membresía si funcionó.

En 2012 fue cuando Club Penguin lanzó membresías gratuitas de 7 días, lo que abrió otra línea de abuso: muchos de estos códigos de membresía de una semana se recopilaron o generaron, y luego se usaron para hackear a los miembros. Debido a que era gratis, ahorró tener que pagar 5 5.95 por cada código de membresía para el hackeo de miembros. De hecho, Myles, el creador de la galleta más avanzada de Club Penguin, fue quien creó el generador de códigos de membresía de 7 días. Aunque no compartía su herramienta con otros, generaba decenas de miles de códigos de membresía con ella y los vendía a granel a un precio bajo.

Hay otro defecto, este de 2013, en el que se podían ver los detalles de las transacciones de membresía de cualquier pingüino, sin necesidad de iniciar sesión. La página de la cuenta principal de Club Penguin tenía una URL que obtenía el historial de transacciones del ID de penguin especificado. Todo lo que tendría que hacer es tomar esa URL y cambiar el ID de su pingüino por el del pingüino cuyas transacciones de membresía quería ver, ya que es muy fácil obtener el número de identificación de un pingüino. Luego cargaría su información en lugar de la suya propia. Con esta información, puedes llamar a Club Penguin, inventar una historia falsa de que es tu cuenta de penguin, y como tienes las transacciones de membresía que no deberías ver, piensan que es el propietario real de esa cuenta y, por lo tanto, cambiarían el correo electrónico de cualquier dirección legítima bajo la que estuviera a tu propio correo electrónico, lo que te da control total de la cuenta de penguin. Otro método que fue mucho más popular fue enviar un correo electrónico a Club Penguin desde una nueva dirección de correo electrónico que creaste y decir algo como » Hola, mi nombre de pingüino es _ _ _ _ _ _ _ y olvidé mi correo electrónico y contraseña. ¿Puede darme una pista de la dirección de correo electrónico para que pueda restablecerla?». El soporte de Club Penguin a veces respondía con una sugerencia como ac******@hotmail.com. Entonces tendrías que hacer todo lo posible para averiguar correctamente cuál era esa dirección de correo electrónico para que el pingüino pudiera ser tuyo. Por descabellado que parezca, todos estos métodos se han utilizado con éxito muchas veces en el pasado. Finalmente, Club Penguin tomó medidas enérgicas al respecto y se le pediría que los enviara por correo electrónico desde la dirección de correo electrónico con la que se creó originalmente la cuenta, de lo contrario, se quedaría atascado. Por supuesto, si fue capaz de recrear la dirección de correo electrónico o de alguna manera averiguar la contraseña de la cuenta de correo electrónico, esto no fue un problema. A veces, el pingüino y la dirección de correo electrónico tenían la misma contraseña, por lo que podías obtener una cuenta de esa manera.

Mientras que algunas personas se quedarían con estos pingüinos agrietados, también había un mercado subterráneo para comprarlos y venderlos en las salas de chat XAT. Antes de que la comunidad de Club Penguin se mudara a Twitter, muchos jugadores del juego interactuaban a través de salas de chat XAT. Estas cuentas raras se intercambiarían o venderían por dinero a través de PayPal o a cambio de funciones XAT premium como «días» y «poderes», que le permitían hacer cosas especiales en los chats. Los XAT también se pueden cambiar por dinero real. Con XATs puedes usar emoticonos exclusivos en los chats, darle un brillo especial a tu nombre de usuario y mucho más. Algunas personas solo tendrían unos pocos pingüinos raros para vender, mientras que otros estaban tratando de vender literalmente 100 o más pingüinos raros a la vez. Alrededor de 2012, los pingüinos probadores beta sin el sombrero beta se vendieron por aproximadamente 15,000 XATs, lo que equivale a 3 30. Las cuentas de probador beta con el sombrero beta se venden por 100.000 XATs, lo que equivale a $200. Y sí, la gente realmente pagó estos precios astronómicos solo por píxeles. De hecho, algunas cuentas beta se venderían por 3 300, 5 500, y, no bromeo, incluso 1 1.000. Todo dependía de quién estuviera dispuesto a pagar el precio más alto por una cuenta. Cuanto más raros sean los artículos que tenga la cuenta, mayor será su valor.

A medida que pasaba el tiempo, el ID de Microchip se acortaba en longitud en las cuentas que quedaban por descifrar, ya que la mayoría de las cuentas habían sido descifradas con éxito por los jugadores. Una gran mayoría de las cuentas de los probadores beta, de hasta aproximadamente 8.000 ID en la lista, se descifraron con el tiempo. Ningún probador beta que se vea vagando por Club Penguin hoy en día es el propietario original legítimo y no ha habido tal cosa durante mucho tiempo. La gente también se volvió más y más inteligente al descubrir contraseñas. Si bien muchos sitios de fans de Club Penguin hoy en día utilizan la plataforma WordPress, en 2006 y alrededor de ese año, los pingüinos creaban un sitio web con un creador de sitios web ya desaparecido llamado Piczo. También había algunos foros muy antiguos de Club Penguin donde algunos jugadores enumeraban sus nombres de pantalla o direcciones de correo electrónico de AIM (AOL Instant Messenger) en sus perfiles. Estos crackers de cuentas examinarían detenidamente los sitios web de Piczo y las publicaciones en foros creadas por estos viejos pingüinos con la esperanza de encontrar información clave que los llevara a adivinar con éxito la contraseña. Buscarían en las páginas de sus sitios web de Piczo la información más pequeña que podría ser su contraseña, por ejemplo, el nombre de su mascota. Google también sería buscado por ellos con la esperanza de encontrar cualquier otra pequeña pieza de información que pudiera ayudarles a averiguar la contraseña de una cuenta. Estaban, más o menos, desesperados por encontrar cuentas raras, incluso si eso significaba pasar horas tratando de averiguar la contraseña de una sola cuenta. Las direcciones de correo electrónico antiguas a veces también se encontraban en estos sitios web, que luego intentaban rehacer al igual que con esa página de membresía que expone el defecto de los correos electrónicos. Mi amigo Pablo en realidad consiguió una cuenta beta gratis simplemente encontrando un comentario de ella en YouTube, enviándole mensajes y preguntando por la cuenta, a lo que ella respondió y felizmente se la dio.