Vazamento de dados da James Delivery em 2020

O registro externo verificado contém endereços de e-mail, localizações geográficas gerais, pares de latitude e longitude e hashes bcrypt de senhas. A presença de campos de localização não comprova que eles representem residências, locais de trabalho, pontos de entrega ou histórico de pedidos. A precisão das coordenadas também não significa que todas as linhas continham uma localização ou que ela estava atualizada.

Nomes, números de telefone, endereços completos, cartões de pagamento, contas bancárias, conteúdo dos pedidos e informações sobre dispositivos não são tipos de dados confirmados neste evento. Um hash bcrypt não é uma senha em texto simples, embora senhas fracas ou reutilizadas ainda possam estar sujeitas ao risco de tentativas de adivinhação offline.

O valor de 1.541.284 representa os endereços de e-mail únicos no conjunto de dados externo verificado. Aproximadamente 1,6 milhão é a contagem arredondada de registros informada para o anúncio de venda da época, sem que tenha sido definida como uma contagem de pessoas, contas ou e-mails únicos. Os valores não devem ser somados nem usados como equivalentes.

Uma verificação no ambiente de produção não encontrou nenhuma tarefa de importação de James nem dados vinculados localmente nas coleções de e-mails, senhas, localizações ou outros dados individuais. Por isso, a contagem exata de e-mails da fonte externa é apresentada apenas com sua própria unidade de medida, sem sugerir que seja um total local ou uma contagem de registros importados.

O registro verificado do vazamento fornece a contagem exata de e-mails, a data do evento, os quatro tipos de dados e a informação sobre o uso de bcrypt. Uma reportagem independente de 29 de junho de 2020 fornece o nome JamesDelivery no anúncio de venda, o número de aproximadamente 1,6 milhão de registros e a observação de que as amostras analisadas pareciam legítimas; a mesma reportagem afirma explicitamente que as empresas não haviam confirmado diretamente os eventos e que a James não havia respondido.

Um artigo secundário de segurança mais antigo, cujo link consta no índice, agora retorna 404. Uma captura do Wayback de 28 de novembro de 2020 mostra que ele resumia a mesma reportagem sobre o anúncio de venda, por isso não foi considerado uma confirmação independente. O site jamesdelivery.com.br está acessível atualmente, e um registro arquivado do período do incidente corrobora a identidade do serviço, mas a existência do site da empresa não é evidência de vazamento.

A associação de um endereço de e-mail com dados de localização e um hash de senha pode facilitar phishing direcionado e tentativas de acesso com senhas reutilizadas em outros sites. Se você usou uma senha na James durante esse período e a reutilizou em outro serviço, substitua-a por uma senha exclusiva, ative a autenticação multifator na conta de e-mail e evite links em mensagens inesperadas sobre entregas ou redefinição de senha.

Uma correspondência de e-mail não demonstra que a residência, o local de trabalho, os pedidos ou as informações de pagamento de uma pessoa tenham sido expostos. O escopo confirmado deste registro se limita aos campos de e-mail, localização geral, coordenadas e hashes bcrypt; não se devem fazer inferências mais amplas sobre comportamento pessoal ou danos.