Filtración de datos de Knuddels de 2018

Según lo comunicado por Knuddels en su foro, una persona desconocida publicó 8 000 registros de miembros en Pastebin el 5 de septiembre de 2018. La empresa comprobó la autenticidad de los datos el 6 de septiembre, deshabilitó temporalmente las credenciales afectadas y preparó medidas para restablecer las contraseñas. El 7 de septiembre recibió un enlace a un archivo más grande que contenía 1 872 000 alias y contraseñas; Knuddels afirmó que, a continuación, exigió a todos sus miembros que cambiaran sus contraseñas y envió notificaciones.

Según lo informado, los primeros 8 000 registros contenían alias y contraseñas, además de un correo electrónico en el 57 % de los casos, un nombre de pila en el 41 % y un lugar de residencia en el 30 %. La empresa también indicó que unas 330 000 de las aproximadamente 808 000 direcciones de correo electrónico estaban verificadas y correspondían a personas distintas. La cifra de 808 330 correos electrónicos únicos del conjunto de datos externo cuenta identificadores de correo electrónico; no se utiliza en lugar del subconjunto de personas verificadas por la empresa.

Knuddels explicó que, aunque empezó a usar hashes de contraseñas en 2012, conservaba una versión sin cifrar para un filtro antiguo diseñado para impedir que los usuarios compartieran contraseñas en los chats. La empresa eliminó esas versiones y desactivó el filtro el 7 de septiembre de 2018. Durante su investigación, identificó un servidor de copias de seguridad con un sistema operativo obsoleto como una primera posible vulnerabilidad y lo apagó; dado que la publicación del foro no presentó ese hallazgo como una conclusión definitiva sobre la vía de acceso inicial, aquí tampoco se señala como la causa definitiva.

Posteriormente, la autoridad de protección de datos de Baden-Württemberg impuso a Knuddels una multa de 20 000 € por almacenar contraseñas en texto plano. El organismo regulador también tuvo en cuenta la rapidez de la notificación, la cooperación, la transparencia y las mejoras de seguridad de la empresa. La multa no representa un recuento de personas ni de direcciones de correo electrónico del conjunto de datos.

La tarea de producción finalizada procesó 808 156 líneas válidas de un archivo que solo contenía correos electrónicos, formado mediante la unión de dos columnas explícitas de correo electrónico, y creó el mismo número de asociaciones únicas de correo electrónico. Los nombres de usuario, las contraseñas, los nombres, las ubicaciones y los demás campos de texto se excluyeron de la importación local. El recuento local de correos electrónicos es inferior en 174 a la cifra externa; como la versión de origen y los detalles de normalización no son idénticos, no se atribuye una causa a esa diferencia.

El sitio oficial de Knuddels y el foro del incidente siguen en funcionamiento. Una coincidencia de correo electrónico en el índice local no demuestra que la persona sea miembro, cuál sea su identidad real o su ciudad, ni que siga utilizando la contraseña. Si una contraseña utilizada en 2018 se reutilizó de forma idéntica o similar en otro servicio, debe sustituirse allí por una contraseña única. Los mensajes inesperados de inicio de sesión o restablecimiento de contraseña deben comprobarse accediendo directamente al servicio oficial, en lugar de seguir el enlace del mensaje.