Filtración de datos de KitchenPal de 2023

Una publicación independiente del 23 de noviembre de 2023 informó de que el atacante había puesto a la venta una base de datos de 146 000 líneas y había publicado una muestra con datos de 28 personas. La respuesta de KitchenPal, citada directamente en la publicación, confirmó un intento de ataque a sus servidores durante esa semana, una exposición limitada de datos de usuarios, la corrección del problema, una auditoría de todo el sistema y el contacto con los usuarios cuyos datos podrían haberse visto comprometidos. La empresa no confirmó el método de acceso inicial, la duración total del acceso ni la cifra completa de filas alegada por el atacante.

El registro externo de la filtración utiliza la fecha del 14 de noviembre de 2023 y recoge que KitchenPal atribuyó el conjunto de datos a un entorno de preproducción que contenía un pequeño número de usuarios reales para tareas de depuración, y afirmó que las contraseñas asociadas no podían utilizarse. Esa fecha es la que el registro externo asigna al incidente, no un momento de acceso inicial divulgado. Como no se publicó el significado técnico de “no podían utilizarse”, esa afirmación no se amplía para sostener que el acceso a las cuentas era imposible.

Además de direcciones de correo electrónico y nombres, el conjunto de datos externo incluye campos incompletos de fecha de nacimiento, género, ubicación geográfica, características físicas como altura y peso, identificadores de perfiles sociales y hashes de contraseñas bcrypt. Dado que se indica expresamente que los datos están incompletos, no debe suponerse que las ocho categorías estén presentes a la vez para cada persona. Las 98 726 direcciones de correo únicas y la cifra de 146 000 líneas alegada por el atacante utilizan unidades distintas; las filas de la muestra no se suman a ninguno de esos totales.

En el entorno de producción no hay ninguna tarea de importación asociada a la identidad de KitchenPal. Las colecciones de correos electrónicos, nombres de usuario, contraseñas, identidades, teléfonos, IP, campos personales, datos sensibles y datos generales de filtraciones no contienen ninguna asociación local. Por tanto, el recuento externo de direcciones de correo no se presenta como registros que puedan consultarse localmente. El dominio actual de KitchenPal está operativo y permite verificar que corresponde a su aplicación de gestión de despensa, compras y planificación de comidas. Si reutilizó en otro servicio una contraseña que usaba durante el periodo del incidente, sustitúyala en ese servicio por una contraseña única; compruebe los mensajes inesperados sobre su cuenta a través de la aplicación oficial o accediendo al dominio por su cuenta.