Vazamento de dados da Jam Tangan em 2021

O registro externo lista seis tipos de dados: endereços de e-mail e IP, nomes, números de telefone, endereços físicos e senhas. Segundo o registro, algumas senhas foram armazenadas como hashes MD5 sem salt e outras como hashes bcrypt. A fonte não informa quantos registros usavam cada algoritmo, quais eram as configurações de custo do bcrypt ou se todas as linhas continham os seis campos.

Cartões de pagamento, contas bancárias, conteúdo dos pedidos, identificadores de dispositivos e documentos de identidade não estão confirmados neste registro. O método de acesso inicial também é desconhecido. Esses campos e qualquer técnica de ataque presumida não devem ser incluídos no escopo dos dados.

O valor 434.784 é o número de endereços de e-mail únicos no conjunto de dados externo verificado. Essa medida não equivale ao número de pessoas, contas de clientes ou linhas dos arquivos de origem. Uma pessoa pode usar vários endereços, e mais de uma conta pode estar associada a um endereço. Por isso, esse número não pode ser apresentado diretamente como uma contagem de pessoas afetadas.

Uma verificação em tempo real no ambiente de produção não encontrou nenhuma tarefa de importação relacionada nem registros vinculados localmente nas coleções de e-mail, senha, telefone, IP, nome de usuário, identidade ou dados gerais. Portanto, o valor 434.784 é apresentado apenas como uma medida externa de e-mails únicos, sem sugerir que seja um total local ou uma contagem de registros importados.

O registro verificado sobre o vazamento sustenta a data, a contagem de e-mails únicos, os seis campos e os dois métodos de hash de senhas. A análise não encontrou nenhum comunicado do responsável pela operação, registro de órgão regulador ou relato independente confiável que detalhe o evento separadamente. Assim, permanecem desconhecidos o momento exato do acesso, as datas de descoberta e notificação, a data de publicação no fórum e o método de ataque.

jamtangan.com está acessível atualmente e confirma a identidade da loja; um domínio da empresa em funcionamento não comprova, por si só, um vazamento. Por isso, o site atual da empresa não é apresentado como fonte sobre o incidente.

Hashes de senhas MD5 sem salt são vulneráveis a tentativas de adivinhar a senha off-line. O bcrypt é um método mais robusto de hash de senhas, mas uma senha fraca ou reutilizada ainda pode gerar risco. Se você usou uma senha na Jam Tangan durante esse período e também em outra conta, essa outra conta deve passar a usar uma senha exclusiva e autenticação multifator, quando disponível.

A combinação de nomes, telefones, endereços e e-mails pode tornar o phishing direcionado mais convincente. Em vez de seguir links em mensagens inesperadas sobre pedidos, cupons, entregas ou redefinição de senha, você deve abrir diretamente o endereço do serviço. Não há evidências verificadas neste registro de que tenham ocorrido fraudes, tomada de controle de contas ou danos físicos.