Filtración de datos de Havenly

BleepingComputer informó de que había visto nombres de usuario, nombres completos, direcciones de correo electrónico, teléfonos, códigos postales, datos de uso del sitio y contraseñas con hash MD5 en una muestra. Se contactó con Havenly el 27 de julio de 2020 y, cinco días después, la empresa cerró las sesiones de sus clientes, exigió que restablecieran sus contraseñas y les envió notificaciones. La empresa afirmó que no almacenaba números completos de tarjetas, aunque los últimos cuatro dígitos podrían haber aparecido en algunos registros.

Fuente pública sobre la filtración de datos, en cambio, informa de 1 369 180 direcciones de correo electrónico únicas, con el 25 de junio como fecha de catalogación, y de una lista más reducida de campos que incluye hashes SHA-1 de contraseñas. Las afirmaciones sobre MD5 y SHA-1 se contradicen; no debe darse por confirmado ningún algoritmo hasta que se verifique la autenticidad de las columnas de contraseñas de los datos sin procesar. La cifra de 1 369 180 corresponde a direcciones de correo electrónico únicas, no a personas ni a filas de datos sin procesar, y no se ha demostrado que el 25 de junio sea la fecha exacta del ataque.

La importación local, realizada en dos partes, procesó 1 362 325 líneas de correo electrónico y generó 1 362 324 asociaciones únicas de correo electrónico en el índice activo, 6 856 menos que la cifra de fuente pública sobre la filtración de datos. Las contraseñas, los nombres de usuario, los teléfonos, las ubicaciones, los datos de uso y los fragmentos de números de tarjetas no se pueden consultar en el índice local. Siguen sin resolverse la falta de archivos de origen y la diferencia de una línea entre lo procesado y lo indexado.

Un resultado privado solo puede confirmar que la dirección de correo electrónico bajo su control aparece en el subconjunto local de correos electrónicos atribuido a Havenly. No permite confirmar la identidad, la titularidad de una cuenta ni la condición de cliente, el interés en servicios de diseño o en realizar compras, detalles del hogar o de la ubicación, una contraseña, la presencia conjunta de campos, una vulneración de seguridad ni un uso indebido. El restablecimiento obligatorio de Havenly debería haber invalidado la contraseña de Havenly; solo quienes hayan reutilizado una contraseña antigua recuperada en otros servicios deberían cambiarla allí.