Suposto vazamento de dados da BSNL em novembro de 2023

O arquivo de informações do arquivo compactado lacrado que foi analisado indica 30 de novembro de 2023 como a data do vazamento e menciona, em conjunto, Perell, a BSNL e o mesmo escopo de dados. A alegação de que “working_lines_tcr.csv” contém 152.072 linhas, incluindo o cabeçalho, corresponde exatamente aos 152.071 registros de dados mais uma linha de cabeçalho desse arquivo contido no pacote. Essa correspondência exata vincula esta versão do arquivo compactado à alegação.

The Cyber Express noticiou em 22 de dezembro de 2023 que Perell alegou ter acesso a aproximadamente 2,9 milhões de linhas contendo dados de e-mail, faturamento e contato, ressaltando que a BSNL não havia confirmado o incidente. A reportagem de acompanhamento de 25 de abril de 2024 afirma que Perell republicou os dados em 24 de abril e que se tratava do mesmo conjunto de dados de 2023, não de um novo evento. Um evento de 2014 relacionado a bsnl.in já catalogado e a possível intrusão relatada pelo CERT-In em 20 de maio de 2024 são distintos e não foram incorporados a este registro. Como não foi localizada nenhuma confirmação por parte da operadora, este registro está marcado como não verificado.

O arquivo auxiliar que acompanha o arquivo compactado declara 232.244 endereços de e-mail únicos e 2.852.069 linhas no total, enquanto a análise técnica completa encontrou 2.889.835 registros de dados na análise sintática. Somente os cabeçalhos da fonte explicitamente nomeados “email”, “email_id” ou “bill_email_id” resultaram em 1.341.886 ocorrências de e-mail válidas e 230.561 endereços de e-mail canônicos únicos. Nenhuma contagem foi ajustada para coincidir com as alegações publicadas: o número exato de pessoas afetadas é desconhecido, portanto pwnCount permanece sem valor definido. O número de 230.561 é apenas um limite inferior, respaldado por evidências, para a quantidade de endereços de e-mail únicos no arquivo compactado analisado, não uma contagem de pessoas.

A fonte e as reportagens públicas também descrevem nomes, números de telefone, endereços físicos, informações de faturamento e informações sobre pedidos ou compras. Somente os campos explícitos de e-mail verificados são importados. As linhas de exemplo no arquivo de informações, os arquivos sem cabeçalho contidos no pacote e os valores semelhantes a e-mails em campos que não foram definidos como campos de e-mail foram expressamente excluídos; nenhum outro campo de dados pessoais é importado. Uma correspondência de e-mail, por si só, não comprova que uma pessoa era cliente da BSNL, que possui uma conta ou que qualquer outro campo pertença à mesma pessoa.