Suposta exposição de dados do 2invoice em 2024

Um arquivo auxiliar contido no arquivo selado analisado identifica o mesmo domínio e a mesma operadora, enquanto o LeakedSource registra um evento referente ao mesmo domínio e ano. Esses vínculos associam o arquivo ao evento com alto grau de confiança. Não foi localizado nenhum comunicado oficial sobre o incidente emitido pela operadora, por um órgão regulador ou por outra fonte oficial; por isso, o registro permanece sem verificação.

Os metadados públicos e os da fonte divergem quanto ao mês exato e à contagem. O LeakedSource informa junho de 2024 e 242.221 registros nos metadados estruturados, mas julho de 2024 e cerca de 1,8 milhão de usuários no texto descritivo. O arquivo auxiliar do distribuidor afirma que a data é 16 de julho de 2024 e que há 328.262 e-mails únicos e 1.835.864 linhas de clientes, incluindo o cabeçalho. A tabela principal de clientes da fonte contém, na realidade, 1.835.863 registros lógicos de dados, excluindo o cabeçalho; esse número é apenas uma medida das linhas da fonte na versão analisada. A contagem exata de pessoas afetadas não foi definida. O número 324.646 é um limite inferior de identificadores únicos de e-mail validados de forma independente a partir de campos explícitos de e-mail. A data de 1 de janeiro representa apenas o ano de 2024; não se afirma precisão quanto ao mês.

Todos os 164 itens do arquivo foram inventariados. Em 27 tabelas CSV com cabeçalhos de e-mail definidos pela fonte, foram examinadas 7.719.076 linhas lógicas, e 1.343.699 ocorrências válidas resultaram em 324.646 e-mails únicos em formato canônico. Para outros 134 itens, as evidências demonstraram que estavam vazios ou não tinham campo de e-mail. Três itens permanecem como pendências explícitas: dois arquivos de texto auxiliares e um CSV com erro de análise sintática cujo cabeçalho não tem campo de e-mail; portanto, a cobertura é PARCIAL. São importadas apenas células completas dos campos email, default_from_email, from_email, to_email, receipt_from_email, payer_email e receiver_email. Senhas, identificadores governamentais, nomes, números de telefone, endereços e todos os demais campos são excluídos. Uma correspondência de e-mail, por si só, não prova que uma pessoa tenha usado o serviço nem que outro campo pertença à mesma pessoa.