FreeOnes 2017: filtración de datos y consulta de correos electrónicos

Un catálogo público de referencia de filtraciones verificadas registra una filtración sensible y verificada del foro de contenido para adultos FreeOnes, fechada el 16 de febrero de 2017. La cifra externa es de 960 213 direcciones de correo electrónico únicas. Un segundo catálogo público independiente también vincula el dominio, el período y las categorías de correo electrónico, nombre de usuario, contraseña y dirección IP con el mismo incidente. Esta cifra no debe interpretarse como el número de filas ni de personas distintas del archivo local.

El archivo comprimido de 39 275 966 bytes superó la prueba de integridad, y los dos archivos regulares que contenía se inventariaron por completo. El archivo de datos principal contiene 963 094 filas sin encabezados. Como los nombres de usuario pueden contener comas, los campos se delimitaron desde la derecha en vez de dividir cada fila sin más desde la izquierda: el tercer campo contando desde el final es el correo electrónico, el segundo es un campo de hash hexadecimal de contraseña de 32 caracteres y el último es un campo auxiliar de credenciales. Dos analizadores sintácticos independientes, ejecutados sobre la totalidad de los datos, generaron el mismo resultado canónico.

La política actual de validación de correos electrónicos aceptó 962 950 apariciones y rechazó 144. Tras eliminar 10 135 apariciones duplicadas, quedaron 952 815 correos electrónicos únicos. Cada relación activa de Mongo se volvió a exportar y coincidió exactamente con el archivo canónico de origen: 952 815 líneas, 21 019 063 bytes y el mismo hash SHA-256. No se ajustó ningún valor para que coincidiera con la cifra del catálogo externo.

La fuente local contiene un campo de nombre de usuario, un campo específico de correo electrónico, un campo de hash hexadecimal de contraseña de 32 caracteres y un campo auxiliar de credenciales cuya estructura es visible, pero cuya fórmula de derivación no está demostrada. El catálogo externo informa de datos de contraseñas con hash MD5 y sal, así como de direcciones IP, en relación con el incidente; no se pudo establecer la existencia de una columna específica de IP en el archivo local. LeakData solo incorporó a la búsqueda el campo de correo electrónico autorizado expresamente. No se importó ninguna relación de nombres de usuario, hashes, campos auxiliares ni direcciones IP.

La cifra externa de correos electrónicos únicos supera en 7 398 la de la versión del archivo local revisada. Las diferencias entre las versiones de origen, el alcance o las reglas de canonicalización podrían explicar esta discrepancia; no constituye una prueba de que falte un número concreto de personas o cuentas. Una conciliación exhaustiva añadió 128 relaciones exactas de la fuente que faltaban. Eliminó 50 valores rechazados por la política actual y 15 fragmentos históricos extraídos del interior de un campo de correo electrónico, en vez de autorizados como el campo completo. El conjunto activo final es idéntico, byte por byte, a la fuente local completa.

Este incidente es sensible por su relación con un foro de contenido para adultos. Si utilizó la misma contraseña o una similar en otros sitios, cree una contraseña única para cada cuenta, active primero la autenticación de dos factores en la cuenta de correo electrónico y verifique, a través de un canal oficial, los mensajes inesperados de restablecimiento de contraseña, extorsión o suplantación de identidad, sin abrir los enlaces que contengan. Una coincidencia positiva en LeakData solo demuestra que la dirección aparece en este conjunto local de correos electrónicos; por sí sola, no demuestra la identidad de una persona, el uso del foro ni que esa dirección aparezca junto a ningún otro campo.