Fuite de données présumée chez BSNL en novembre 2023

Le fichier d’informations de l’archive scellée examinée indique le 30 novembre 2023 comme date de la fuite et mentionne conjointement Perell, BSNL et le même périmètre de données. Le décompte annoncé de 152 072 lignes, en-tête compris, pour « working_lines_tcr.csv » correspond exactement aux 152 071 enregistrements de données et à la ligne d’en-tête de ce fichier dans l’archive. Cette correspondance exacte permet de rattacher cette version de l’archive à l’allégation.

The Cyber Express a rapporté le 22 décembre 2023 que Perell affirmait avoir accès à environ 2,9 millions de lignes contenant des données d’adresses e-mail, de facturation et de contact, tout en précisant que BSNL n’avait pas confirmé l’incident. Dans son article de suivi du 25 avril 2024, le média indique que Perell a de nouveau diffusé les données le 24 avril et qu’il s’agissait du même jeu de données datant de 2023, et non d’un nouvel événement. L’événement concernant bsnl.in en 2014, répertorié au catalogue, et la possible intrusion signalée par CERT-In le 20 mai 2024 sont distincts et n’ont pas été regroupés dans cette fiche. Aucune confirmation de l’opérateur n’ayant été trouvée, cette fiche est marquée comme non vérifiée.

Le fichier annexe de l’archive annonce 232 244 adresses e-mail uniques et 2 852 069 lignes au total, tandis que l’examen technique complet a recensé 2 889 835 enregistrements de données après analyse syntaxique. Seuls les champs de la source dont l’en-tête est explicitement « email », « email_id » ou « bill_email_id » ont fourni 1 341 886 occurrences d’adresses e-mail valides et 230 561 adresses e-mail uniques sous forme canonique. Aucun décompte n’a été ajusté pour correspondre aux chiffres publiés : le nombre exact de personnes concernées est inconnu, et pwnCount reste donc non renseigné. Le chiffre de 230 561 constitue uniquement une borne inférieure, étayée par les éléments de preuve, du nombre d’adresses e-mail uniques présentes dans l’archive examinée, et non un nombre de personnes.

La source et les articles publiés mentionnent également des noms, des numéros de téléphone, des adresses postales, des informations de facturation et des informations sur des commandes ou des achats. Seuls les champs explicitement définis comme des champs d’adresse e-mail et vérifiés sont importés. Les lignes d’exemple figurant dans le fichier d’informations, les fichiers de l’archive dépourvus d’en-tête et les valeurs ressemblant à des adresses e-mail dans des champs qui n’étaient pas définis comme des champs d’adresse e-mail ont été expressément exclus; aucun autre champ de données personnelles n’est importé. Une correspondance sur une adresse e-mail ne prouve pas à elle seule qu’une personne était cliente de BSNL, qu’elle possède un compte ou que les données de tout autre champ concernent cette même personne.