Filtración de datos de Gravatar
El incidente de extracción masiva de datos de Gravatar de 2020 consistió en la enumeración secuencial de una API de perfiles públicos, no en un acceso no autorizado a contraseñas ni a una base de datos privada.
Tipos de datos expuestos
6- Direcciones de correo electrónico
- Nombres
- Nombres de usuario
- Public profile names
- Public profile usernames
- MD5 email-reference hashes
Acerca de esta brecha de datos
El investigador Carlo Di Dato reveló el 3 de octubre de 2020 que una ruta JSON con identificadores numéricos permitía recopilar perfiles de forma secuencial prácticamente sin límites de frecuencia de solicitudes. Gravatar declaró que «no había sufrido una intrusión», que se habían extraído nombres de usuario y hashes MD5 utilizados como referencias de correo electrónico y que había bloqueado la recopilación masiva.
Los nombres y los nombres de usuario eran campos públicos de los perfiles; la dirección de correo electrónico se representaba mediante un hash MD5. El hash no se cifró ni se descifró. Como MD5 sin sal es determinista, se podían calcular los hashes de direcciones de correo electrónico posibles o conocidas y buscar coincidencias para recuperar las direcciones originales.
Fuente pública sobre la filtración de datos informa de aproximadamente 167 millones de perfiles extraídos y de 113 990 759 direcciones de correo electrónico únicas recuperadas, que se distribuyeron junto con nombres y nombres de usuario. La cifra de 113 990 759 no corresponde al número de personas, de usuarios activos ni de direcciones recién expuestas; el 72% de las direcciones recuperadas ya figuraban en el conjunto de datos de fuente pública sobre la filtración de datos a raíz de incidentes anteriores. El 3 de octubre es la fecha de divulgación de la técnica, no una fecha confirmada de inicio de la recopilación del conjunto de datos final.
No hay un conjunto de datos local con registros a nivel individual. Este registro no acredita el uso actual de Gravatar, la titularidad de los perfiles, la aparición conjunta de nombres y nombres de usuario, la vulneración de contraseñas ni un uso indebido. Las asociaciones entre direcciones de correo electrónico y nombres o seudónimos, así como los vínculos entre sitios web, pueden revelar la identidad de quienes participan en comunidades sensibles y deben mantenerse en privado; los usuarios deberían revisar únicamente los campos de Gravatar que aún son visibles públicamente.
Método de verificación y revisión editorial
LeakData compara el nombre del incidente, la fecha, la cantidad de registros afectados y los tipos de datos expuestos con fuentes accesibles. Los campos no verificados no se presentan como hechos, y los registros se actualizan cuando se dispone de nuevas pruebas.
Notificar errores u omisiones en la información
