Fuite de données chez Guns.com

Dans sa lettre du 13 janvier 2021, l’entreprise décrit une attaque par déni de service survenue le 11 janvier, qui a duré moins de dix minutes et n’a révélé aucun indice de tentative de compromission des données. Cette lettre ne confirme pas la base de données publiée ultérieurement.

Le 9 mars 2021, un acteur a publié une base de données de Guns.com qui aurait été obtenue ou vendue fin 2020. L’examen des fichiers a fait état de noms, de près de 400 000 adresses e-mail, de hachages de mots de passe, d’adresses, de numéros de téléphone et de dates liées aux comptes; un dossier distinct contenait des coordonnées bancaires et une feuille de calcul contenait des identifiants en clair d’administrateur, de WordPress, de MySQL et d’Azure. Source publique sur la fuite de données répertorie 375 928 adresses e-mail uniques associées à des noms, des numéros de téléphone, des adresses, des achats d’armes à feu, des données partielles de carte bancaire et des mots de passe clients hachés avec bcrypt. Les hachages bcrypt des clients et les identifiants d’administrateur présents séparément ne concernent pas la même population.

Le 12 janvier est une date indiquée par source publique sur la fuite de données, dont la signification exacte dans la chronologie des accès n’est pas expliquée. Le traitement local a porté sur 365 127 lignes d’adresses e-mail et a produit 365 126 adresses e-mail uniques dans l’index actif, soit 10 802 de moins que le décompte de source publique sur la fuite de données. Aucune recherche locale n’est possible sur les autres champs.

Un résultat ne permet pas d’établir l’identité d’une personne, son statut de client de Guns.com, son intérêt pour les armes à feu, la possession ou l’achat d’une arme à feu, le type de produit, une date de naissance, une adresse, un numéro de téléphone, des données de carte ou de compte bancaire, la présence associée d’un mot de passe, une compromission ou une utilisation abusive. Un mot de passe client dont l’authenticité a été confirmée devrait être remplacé partout où il a été réutilisé, et les liens avec le marché des armes à feu, les adresses et les informations financières doivent rester privés.