Fuite de données du forum GSM-Hosting en 2016

Le catalogue vérifié actuel des fuites de données fait état de 2 607 440 comptes ou identifiants d’adresses e-mail uniques dans un jeu de données d’août 2016 et répertorie des adresses e-mail, des noms d’utilisateur, des adresses IP et des hachages MD5 salés de mots de passe. Un article de HackRead de mars 2017, conservé en archive, relaie l’affirmation d’un vendeur selon laquelle les données comprendraient 2 611 291 comptes du forum, avec des identifiants de forum, des noms d’utilisateur, des adresses e-mail, des hachages de mots de passe et des champs IP. Le 1er août n’est qu’un repère du catalogue indiquant le mois, et non la date exacte d’un accès ou d’une exfiltration.

Le traitement historique achevé par LeakData a importé 2 609 857 relations d’adresses e-mail à partir d’un fichier normalisé à une seule colonne, mappée sur le champ email. Un nouvel export en direct depuis Mongo a reproduit les mêmes 2 609 857 lignes et 57 430 803 octets; l’ensemble trié des valeurs uniques contient lui aussi 2 609 857 lignes et le même nombre d’octets. Le total local dépasse de 2 417 le décompte source publique sur la fuite de données et reste inférieur de 1 434 au chiffre avancé par le vendeur et rapporté par HackRead. Ni la version du jeu de données, ni la normalisation, ni les doublons, ni les valeurs nulles ou invalides ne permettent d’expliquer ces écarts, et aucun alignement sur un décompte externe n’a été effectué.

Deux analyseurs indépendants actuels s’accordent sur 2 609 643 relations strictement valides et 214 relations au format ancien. Parmi ces dernières, 202 ne respectent pas la règle actuelle relative à la partie locale ASCII et 12 ne respectent pas la règle sur les caractères du domaine de premier niveau. Il s’agit de relations indexées préexistantes; cet audit ne les a ni supprimées, ni corrigées, ni réimportées. Le fichier d’origine du traitement historique n’est plus présent sur le disque, il n’existe ni manifeste d’entrée ni enregistrement SHA-256 de la source, et l’état de la sauvegarde est skipped. L’enregistrement du traitement prouve le mappage d’une seule colonne sur le champ email, mais la transformation de l’archive d’origine en ce fichier normalisé ne peut plus être reproduite.

La copie de travail DHT ne contient que les 19 394 501 derniers octets de l’archive GSMHosting de 148 114 585 octets; les 128 720 084 premiers octets sont indisponibles. Le segment final disponible, l’archive GSkill complète qui suit et le début de GTAGaming reproduisent exactement trois blocs torrent consécutifs de 32 MiB, avec concordance des valeurs SHA-1 du metainfo; cela prouve uniquement leur position en octets. L’en-tête initial 7-Zip et l’inventaire final sont indisponibles; il est donc impossible de prouver l’inventaire des éléments de l’archive, le schéma des champs, la valeur de référence de la colonne d’adresses e-mail, la correspondance exacte entre l’archive et le traitement, ainsi que la couverture complémentaire. Aucun nouvel import ni aucun import destiné à combler des lacunes n’a été effectué à partir de ce segment final.

La recherche locale ne porte que sur les relations d’adresses e-mail; les noms d’utilisateur, les IP, les identifiants de forum et les hachages de mots de passe ne peuvent pas faire l’objet d’une recherche locale. Un résultat privé établit uniquement que l’adresse e-mail sous votre contrôle figure dans le sous-ensemble local attribué au forum. Il ne permet d’établir ni une identité, ni la propriété d’un compte, ni l’utilisation du forum, ni un nom d’utilisateur, une IP ou un mot de passe, ni la présence de plusieurs champs dans un même enregistrement, ni une compromission ou un usage abusif. Un hachage MD5 salé n’est pas un mot de passe en clair, même si les mots de passe faibles peuvent être devinés hors ligne; seul un ancien mot de passe dont l’authenticité est établie et qui a été réutilisé ailleurs doit être remplacé. Le lien avec un forum ou une communauté technique et les données d’authentification restent sensibles.