Filtración de datos de JD.com de 2013

El registro verificado indica que los 13 GB de datos contienen cuatro categorías estructuradas: direcciones de correo electrónico, nombres de usuario, números de teléfono y hashes de contraseñas SHA-1. Un valor SHA-1 no es una contraseña en texto plano, pero ofrece una protección débil según los estándares actuales de almacenamiento de contraseñas. Las contraseñas cortas o reutilizadas siguen expuestas al riesgo de intentos de adivinación sin conexión.

Las noticias de 2016 también describían un conjunto más amplio de campos, entre ellos cuentas de QQ y números de identificación, en un paquete de aproximadamente 12 GB que circulaba entonces. Como no se establece que el tamaño de ese paquete y los campos que abarca sean idénticos a los del conjunto de datos externo verificado, esos campos adicionales mencionados no se incorporan a las cuatro categorías estructuradas. Las tarjetas de pago, el historial de pedidos y las cuentas bancarias tampoco forman parte de los campos estructurados que se recogen actualmente.

Como las fuentes no revelan el día exacto de la filtración, el campo de fecha del 1 de enero de 2013 es solo un valor provisional que indica el año; no demuestra que el incidente ocurriera el 1 de enero. Diciembre de 2016 corresponde al periodo del comunicado de la empresa y de las noticias sobre el paquete de datos puesto a la venta, no a la fecha de otra filtración.

La cifra de 77 449 341 representa las direcciones de correo electrónico únicas del conjunto de datos externo verificado. No equivale al número de cuentas, personas o filas totales de los archivos de origen. El entorno de producción no cuenta con ninguna tarea de importación de JD ni con un conjunto de datos de correos electrónicos, contraseñas, teléfonos o nombres de usuario indexado localmente, por lo que la cifra no se presenta como un total local.

El registro verificado de la filtración aporta el número exacto de direcciones de correo electrónico, los cuatro campos y el detalle sobre SHA-1. La noticia de TechNode del 12 de diciembre de 2016 enlaza al anuncio oficial de la empresa en WeChat e informa de que JD confirmó el incidente de 2013. Otra página de una fuente secundaria, a la que antes enlazaba el registro verificado, ahora devuelve un error 404 y, por tanto, no se utiliza como fuente pública.

Si utilizó en otro servicio una contraseña que usaba en JD.com en 2013, sustitúyala en ese servicio por una contraseña única y active la autenticación multifactor donde esté disponible. En lugar de seguir enlaces de mensajes inesperados sobre entregas, reembolsos, promociones o restablecimiento de contraseñas, abra directamente la dirección de JD.

Una coincidencia de correo electrónico no demuestra que una contraseña estuviera en texto plano, que alguien hubiera tomado el control de una cuenta ni que se hubieran expuesto datos de pagos y pedidos. El alcance verificado de este registro se limita a los campos de correo electrónico, nombre de usuario, teléfono y hash de contraseña SHA-1 del conjunto de datos externo.