Fuite de données de Gaadi en 2015

La fiche actuelle de source publique sur la fuite de données fait état de 4 261 179 identifiants uniques d’adresses e-mail et répertorie des adresses e-mail, des genres, des localisations géographiques, des adresses IP, des noms, des mots de passe, des numéros de téléphone et des noms d’utilisateur. Selon source publique sur la fuite de données, les mots de passe figuraient à la fois en clair et sous forme MD5. Le 14 mai est la date retenue dans le catalogue, et non la date exacte d’un accès, d’une exfiltration ou d’une publication.

L’index local de LeakData en production contient 4 253 404 relations uniques d’adresses e-mail, soit 7 775 de moins que le décompte de source publique sur la fuite de données. Les écarts liés à la version du jeu de données, à la normalisation, aux doublons, aux valeurs vides et aux valeurs rejetées n’ont pas été réconciliés; aucun décompte n’a été ajusté pour correspondre à un autre. La tâche historique achevée recense 4 253 404 lignes comme des adresses e-mail valides et importées, avec un nombre d’erreurs égal à zéro. Toutefois, le champ duplicateRecords est absent du document de la tâche : un nombre de doublons égal à zéro n’a donc pas été présumé.

Un nouvel export de la base Mongo en production a produit 4 253 404 lignes et 98 112 742 octets. L’ensemble trié des valeurs uniques présente les mêmes nombres de lignes et d’octets, ce qui confirme de manière indépendante que les relations actuellement en production ne contiennent aucun doublon. Deux validateurs compilés actuels dénombrent tous deux 4 252 216 relations strictement valides et 1 188 relations à l’ancien format. Parmi ces dernières, 512 ne respectent pas la règle actuelle sur les caractères ASCII de la partie locale, et 676 ne respectent pas la règle sur les caractères du domaine de premier niveau. Ces relations déjà indexées n’ont été ni supprimées, ni corrigées, ni réimportées.

Le fichier normalisé d’origine de la tâche n’est plus présent sur le disque; il n’existe ni manifeste d’entrée ni relevé SHA-256 de la source, et l’état de la sauvegarde est skipped. La copie de travail DHT ne contient que les 7 081 961 derniers octets d’une archive 7z de 334 509 577 octets; les 327 427 616 premiers octets et l’en-tête de début 7-Zip ne sont pas disponibles. La fin de Gaadi, les quatre fichiers complets suivants et le début de GameSalad correspondent à trois blocs de torrent consécutifs de 32 MiB, d’après les valeurs SHA-1 des métadonnées du torrent. Cela prouve uniquement la position des octets. Il est impossible d’établir l’inventaire des fichiers de l’archive, la colonne source des adresses e-mail, le fait que l’archive soit bien celle utilisée pour la tâche ou l’existence éventuelle d’un périmètre de données complémentaire. Aucun nouvel import ni aucun import visant à combler les lacunes n’a donc été effectué.

La recherche locale porte uniquement sur les relations d’adresses e-mail; les genres, localisations, adresses IP, noms, mots de passe, numéros de téléphone et noms d’utilisateur signalés par source publique sur la fuite de données ne sont pas consultables localement. Un résultat privé ne permet pas d’établir la titularité d’un compte, l’identité d’une personne, l’utilisation ou l’achat d’un véhicule, la présence conjointe de champs, la forme d’un mot de passe, une compromission ou une utilisation abusive. Les mots de passe en clair ou utilisant MD5, un algorithme peu robuste, présentent un risque : un ancien mot de passe connu ne doit être changé que là où il a réellement été réutilisé ailleurs. gaadi.com redirige désormais vers CarDekho; cette redirection actuelle n’a pas été utilisée pour confirmer l’incident de 2015 ni la responsabilité de l’exploitant de l’époque.