Vazamento de dados da JD.com em 2013

O registro verificado informa quatro categorias estruturadas em 13 GB de dados: endereços de email, nomes de usuário, números de telefone e hashes de senhas SHA-1. Um valor SHA-1 não é uma senha em texto simples, mas é fraco segundo os padrões modernos de armazenamento de senhas, e senhas curtas ou reutilizadas continuam expostas ao risco de serem descobertas por tentativas de adivinhação offline.

Reportagens de 2016 também descreveram um conjunto mais amplo de campos, incluindo contas QQ e números de identificação, em um pacote de aproximadamente 12 GB que circulava na época. Como não está estabelecido que o tamanho desse pacote e o escopo dos campos sejam idênticos aos do conjunto de dados externo verificado, essas alegações adicionais não são incorporadas às quatro categorias estruturadas. Cartões de pagamento, histórico de pedidos e contas bancárias também não fazem parte do escopo estruturado atual.

Como as fontes não revelam o dia exato do vazamento, a data de 1 de janeiro de 2013 no campo correspondente serve apenas para indicar o ano; ela não comprova que o incidente ocorreu em 1 de janeiro. Dezembro de 2016 é o período do comunicado da empresa e das reportagens sobre o pacote de dados colocado à venda, não a data de um vazamento separado.

O valor 77.449.341 representa endereços de email únicos no conjunto de dados externo verificado. Não é a mesma medida que o número de contas, de pessoas ou o total de linhas dos arquivos de origem. O ambiente de produção não tem nenhuma tarefa de importação da JD nem conjuntos de dados de emails, senhas, telefones ou nomes de usuário indexados localmente, portanto esse valor não é apresentado como um total local.

O registro verificado do vazamento fornece a contagem exata de emails, os quatro campos e o detalhe sobre SHA-1. A reportagem da TechNode de 12 de dezembro de 2016 inclui um link para o anúncio oficial da empresa no WeChat e relata a confirmação, pela JD, do incidente de 2013. Outra página secundária, anteriormente vinculada pelo registro verificado, agora retorna 404 e, por isso, não é usada como fonte pública.

Se você usou uma senha na JD.com em 2013 e também em outro serviço, troque-a nesse outro serviço por uma senha exclusiva e ative a autenticação multifator onde estiver disponível. Em vez de seguir links em mensagens inesperadas sobre entregas, reembolsos, promoções ou redefinição de senha, acesse diretamente o endereço da JD.

Uma correspondência de email não comprova que uma senha estava em texto simples, que alguém assumiu o controle de uma conta ou que dados de pagamento e de pedidos foram expostos. O escopo verificado deste registro se limita aos campos de email, nome de usuário, telefone e hash de senha SHA-1 presentes no conjunto de dados externo.