Vazamento de dados da Jefit em 2020

A Jefit afirma que, após receber vários relatos de usuários, descobriu um incidente envolvendo dados causado por uma falha de segurança; protegeu seus servidores e as contas afetadas; corrigiu a falha; conduziu uma investigação forense; e contatou as autoridades policiais. O comunicado da empresa informa que contas cadastradas antes de 20 de setembro de 2020 podem ter sido afetadas.

A declaração da empresa não informa o dia exato do acesso inicial, o responsável nem o período em que os dados foram obtidos. Por isso, 11 de agosto é mantido como a data do registro externo verificado, e não apresentado como um dia exato de acesso divulgado pela empresa. 19 de março de 2021 é a data do comunicado público, não de um vazamento separado.

O comunicado da empresa lista o nome de usuário da conta, o endereço de e-mail associado à conta, a senha armazenada como hash com um salt exclusivo para cada conta e o endereço IP registrado na criação da conta. Também informa que nem todas as contas tinham um endereço IP. Como os pagamentos eram processados por lojas ou empresas de pagamento terceirizadas, a Jefit afirma que não armazenava informações de pagamento dos clientes e que nenhum dado financeiro estava envolvido.

O registro externo verificado informa que as senhas constavam como hashes vBulletin ou Argon2 e que vários milhões de senhas obtidas pela quebra de hashes circularam posteriormente. Esse detalhe técnico vem da análise do conjunto de dados externo; não significa que a empresa tenha afirmado que todas as contas usavam o mesmo algoritmo ou que todas as senhas haviam sido quebradas. Registros de saúde, histórico de treinos, mensagens privadas, cartões de pagamento e contas bancárias não são categorias de dados confirmadas.

O valor de 9.052.457 corresponde ao número de endereços de e-mail únicos no conjunto de dados externo verificado. A rotina de coluna única em produção processou 9.034.605 linhas de e-mail e criou 9.033.145 associações únicas de e-mail. O arquivo local foi normalizado a partir da coluna de e-mail na estrutura de origem da Jefit; senhas, nomes de usuário e endereços IP não foram importados.

A contagem local de e-mails únicos é 19.312 menor que a externa. Como as fontes não esclarecem as diferenças de versão dos conjuntos de dados, normalização e deduplicação, os valores não são combinados. Uma correspondência local confirma apenas o e-mail; não comprova que uma senha, um nome de usuário ou um IP estivesse presente para a mesma pessoa.

Se você usou uma senha na Jefit em 2020 e também em outro serviço, substitua-a nesse outro serviço por uma senha exclusiva e ative a autenticação multifator onde estiver disponível. O próprio comunicado da empresa também incentiva os usuários atuais a trocar a senha da Jefit por uma combinação mais forte.

Em vez de seguir links em mensagens inesperadas sobre assinaturas, planos de treino, vinculação de dispositivos ou redefinição de senha, acesse diretamente o endereço ou o aplicativo da Jefit. Uma correspondência de e-mail não comprova a exposição de dados financeiros, de saúde ou de treinos; o escopo confirmado se limita a e-mail, nome de usuário, IP de criação da conta e hash de senha.