Vazamento de dados da Kaneva em 2016

O relato externo atualmente verificado informa que 3,9 milhões de registros de usuários do serviço Kaneva, hoje desativado, foram expostos e continham endereços de e-mail, nomes de usuário, datas de nascimento e hashes MD5 de senhas com salt. O escopo estruturado desse registro lista as mesmas quatro categorias. Não foram encontrados aviso público da operadora do serviço, registro de órgão regulador, informações sobre o método de acesso inicial, o responsável ou a duração do acesso, nem data de publicação. 1 de julho é a data do evento no registro externo e não é interpretada como o momento exato do acesso à rede.

Uma versão arquivada de 30 de junho de 2016 apresenta a Kaneva como um serviço que combinava rede social com um mundo virtual 3D gratuito, onde os usuários podiam construir e explorar mundos virtuais com amigos. Essa versão arquivada dá suporte à identificação da organização e do serviço; não é um comunicado independente sobre o incidente. Como kaneva.com agora redireciona para um site sem relação com o serviço, o registro público traz um link para a versão arquivada do período do incidente.

As categorias verificadas no registro externo são datas de nascimento, endereços de e-mail, senhas e nomes de usuário. As senhas são descritas como hashes MD5 com salt; não foi comprovada a exposição de senhas em texto simples. O uso de salt reduz a utilidade de tabelas de consulta pré-calculadas, mas o MD5 é um método rápido e fraco para o armazenamento moderno de senhas.

Nomes, números de telefone, endereços físicos, documentos de identificação emitidos pelo governo, cartões de pagamento, mensagens privadas, conteúdo de avatares e atividades no mundo virtual não são categorias verificadas. Uma correspondência de e-mail, por si só, não comprova que uma pessoa tinha uma conta na Kaneva, estava associada, na mesma linha de dados, a uma determinada data de nascimento, nome de usuário ou hash, ou usava o mundo virtual.

O valor de 3.901.179 corresponde à contagem de e-mails únicos no conjunto de dados externo. O índice local contém 3.908.307 associações únicas de e-mail, 7.128 a mais que a contagem externa, enquanto as 3.908.470 linhas válidas processadas superam em 163 as associações únicas locais. Como os detalhes sobre a versão do conjunto de dados, a normalização e a deduplicação não foram conciliados, nenhuma causa é atribuída às diferenças.

O conjunto de dados processado localmente contém apenas endereços de e-mail. Datas de nascimento, nomes de usuário e hashes de senhas são categorias verificadas externamente, não campos armazenados localmente nesta importação em produção. Se você sabe, independentemente deste registro, que reutilizou uma antiga senha da Kaneva em outro serviço, pode substituí-la nesse serviço por uma senha exclusiva e ativar a autenticação multifator, quando disponível.