Fuite de données de GPS Underground en 2016

Un article de HackRead de mars 2017 portant sur une annonce de vente avance le chiffre de 668 421 comptes utilisateurs pour juillet 2016 et énumère des identifiants de forum, des noms d’utilisateur, des adresses e-mail, des empreintes de mots de passe, des dates de naissance et des adresses IP. La date du 1er juillet sert uniquement à situer l’événement au mois près; elle ne désigne pas le jour exact d’un accès ou d’une exfiltration. Cet événement ne doit pas être confondu avec une autre attaque survenue en 2010.

Le traitement historique achevé par LeakData a importé 649 348 relations d’adresses e-mail à partir d’un fichier canonique à colonne unique, dont la colonne était mappée comme adresse e-mail. Un nouvel export en direct reproduit les mêmes 649 348 lignes et 13 858 640 octets; l’ensemble trié des valeurs uniques compte lui aussi 649 348 lignes. Deux validateurs actuels indépendants concordent sur les résultats : 649 338 relations strictement valides et 10 relations au format ancien marquées LOCAL_CHARACTER_INVALID ; les relations au format ancien n’ont pas été supprimées. Le total local est inférieur de 20 236 à la mesure du catalogue et de 19 073 au chiffre avancé dans l’article. Les écarts liés à la version du jeu de données, à la normalisation, aux doublons, aux valeurs nulles et aux valeurs rejetées restent non résolus.

Le fichier d’origine du traitement historique est absent, son statut de sauvegarde est skipped et le traitement ne dispose ni d’un manifeste d’entrée ni d’une empreinte SHA de la source. Le fichier DHT actuel ne contient que les 5 943 535 premiers octets d’une archive 7z de 44 995 611 octets; les 39 052 076 derniers octets et l’en-tête de fin 7z sont manquants. Il n’est donc pas possible de rétablir à partir de la source l’inventaire des fichiers de l’archive ou la colonne d’adresses e-mail source, ni de déterminer s’il s’agit du même jeu de données que celui du traitement historique ou s’il existe une éventuelle couverture supplémentaire par rapport aux mesures externes. Les décomptes n’ont pas été ajustés et aucun import supplémentaire n’a été effectué.

Une correspondance privée montre uniquement que l’adresse e-mail contrôlée figure dans le sous-ensemble local de 649 348 relations. Elle ne permet d’établir ni une identité, ni l’appartenance au forum, ni un intérêt pour la navigation ou le GPS, ni une adresse IP ou une localisation, ni une date de naissance, ni un nom d’utilisateur, ni un mot de passe, ni la présence conjointe de champs, ni une compromission, ni un usage abusif. Le détail relatif au MD5 salé ne doit pas être généralisé à toutes les lignes, et une empreinte n’est pas du texte en clair. Un ancien mot de passe connu ne doit être remplacé que là où il a effectivement été réutilisé par ailleurs.