Vazamento de dados de Gravatar

O pesquisador Carlo Di Dato divulgou em 3 de outubro de 2020 que uma rota JSON baseada em IDs numéricos permitia a coleta sequencial de perfis praticamente sem limitação da frequência de requisições. O Gravatar afirmou que “não foi invadido”, que foram coletados nomes de usuário e hashes MD5 usados como referências a e-mails e que bloqueou a coleta em massa.

Nomes e nomes de usuário eram campos públicos dos perfis; o endereço de e-mail era representado por um hash MD5. O hash não foi criptografado nem descriptografado. Como o MD5 sem salt é determinístico, era possível calcular hashes de endereços de e-mail candidatos ou conhecidos e compará-los para recuperar os endereços originais.

O fonte pública sobre vazamentos de dados informa que foram coletados aproximadamente 167 milhões de perfis e recuperados 113.990.759 endereços de e-mail únicos, distribuídos junto com nomes e nomes de usuário. O número 113.990.759 não corresponde a pessoas, usuários ativos ou endereços recém-expostos; 72% dos e-mails recuperados já estavam no conjunto de dados do fonte pública sobre vazamentos de dados em decorrência de incidentes anteriores. 3 de outubro é a data de divulgação da técnica, não uma data comprovada de início da coleta do conjunto de dados final.

Não há um conjunto de dados local com registros em nível individual. Este registro não comprova o uso atual do Gravatar, a titularidade dos perfis, a ocorrência conjunta de nome e nome de usuário, o comprometimento de senhas nem o uso indevido. Os vínculos de e-mails com nomes e pseudônimos, assim como os vínculos entre sites, podem revelar a identidade de participantes de comunidades sensíveis e devem permanecer privados; os usuários devem revisar apenas os campos do Gravatar que ainda estão visíveis publicamente.