Filtración de datos de James Delivery de 2020

El registro externo verificado contiene direcciones de correo electrónico, ubicaciones geográficas generales, pares de latitud y longitud y hashes de contraseñas bcrypt. La presencia de campos de ubicación no demuestra que correspondan a domicilios, lugares de trabajo, puntos de entrega o un historial de pedidos. La precisión de las coordenadas tampoco implica que todas las filas contuvieran una ubicación ni que esta estuviera actualizada.

No se ha confirmado la presencia de nombres, números de teléfono, direcciones postales completas, tarjetas de pago, cuentas bancarias, contenido de pedidos ni información sobre dispositivos en los datos de este incidente. Un hash bcrypt no es una contraseña en texto plano, aunque las contraseñas débiles o reutilizadas pueden seguir expuestas al riesgo de que se intenten adivinar sin conexión.

La cifra de 1 541 284 corresponde a las direcciones de correo electrónico únicas del conjunto de datos externo verificado. Aproximadamente 1,6 millones es el recuento redondeado de registros que se comunicó para el anuncio de venta de aquel momento, y no se definió como un número de personas, cuentas o correos electrónicos únicos. Las cifras no se suman y no deben usarse indistintamente.

Una comprobación en el entorno de producción no encontró ninguna tarea de importación de James ni datos vinculados localmente en las colecciones de correos electrónicos, contraseñas, ubicaciones u otros datos por persona. Por tanto, el recuento exacto de direcciones de correo electrónico del registro externo se presenta únicamente con su propia unidad de medida, sin sugerir que sea un total local ni un recuento de registros importados.

El registro verificado de la filtración aporta el recuento exacto de correos electrónicos, la fecha del incidente, cuatro tipos de datos y el detalle sobre bcrypt. El reportaje independiente del 29 de junio de 2020 aporta el nombre JamesDelivery que figuraba en el anuncio de venta, la cifra de aproximadamente 1,6 millones de registros y la observación de que las muestras examinadas parecían legítimas; ese mismo reportaje señala expresamente que las empresas no habían confirmado directamente los incidentes y que James no había respondido.

Un artículo anterior sobre seguridad, de una fuente secundaria y enlazado desde el índice, devuelve ahora un error 404. Una captura de Wayback del 28 de noviembre de 2020 muestra que resumía el mismo reportaje sobre el anuncio de venta, por lo que no se consideró una confirmación independiente. Actualmente se puede acceder a jamesdelivery.com.br, y una copia archivada de la época del incidente respalda la identidad del servicio, pero la existencia del sitio web de la empresa no constituye una prueba de la filtración.

Vincular una dirección de correo electrónico con datos de ubicación y un hash de contraseña puede facilitar el phishing dirigido y los intentos de acceso con contraseñas reutilizadas en otros sitios. Si reutilizó en otros sitios una contraseña que usaba en James durante ese periodo, sustitúyala por una contraseña única, active la autenticación multifactor en su cuenta de correo electrónico y evite los enlaces de mensajes inesperados sobre entregas o restablecimientos de contraseñas.

Una coincidencia de correo electrónico no demuestra que se hayan expuesto el domicilio o el lugar de trabajo de una persona, sus pedidos o su información de pago. Los datos confirmados en este registro se limitan a los campos de correo electrónico, ubicación general, coordenadas y hash bcrypt; no deben extraerse conclusiones más amplias sobre el comportamiento personal o los daños.