Violação de dados da Knuddels em 2018

Segundo a divulgação da Knuddels no fórum, uma pessoa desconhecida publicou 8.000 registros de membros no Pastebin em 5 de setembro de 2018. A empresa confirmou a autenticidade dos dados em 6 de setembro, desativou temporariamente as credenciais afetadas e preparou medidas de redefinição de senha. Em 7 de setembro, recebeu um link para um arquivo maior, que continha 1.872.000 apelidos e senhas; a Knuddels afirmou que, então, exigiu que todos os membros alterassem suas senhas e enviou notificações.

Segundo o relato, os primeiros 8.000 registros continham apelidos e senhas, além de e-mail em 57% dos casos, primeiro nome em 41% e local de residência em 30%. A empresa também afirmou que cerca de 330.000 dos aproximadamente 808.000 endereços de e-mail eram verificados e representavam pessoas distintas. A contagem de 808.330 e-mails únicos no conjunto de dados externo contabiliza identificadores de e-mail; ela não substitui o subconjunto de pessoas verificadas informado pela empresa.

A Knuddels explicou que, embora tivesse introduzido hashes de senha em 2012, manteve uma versão não criptografada para um filtro antigo, projetado para impedir que usuários compartilhassem senhas nos bate-papos. A empresa removeu essas versões e desativou o filtro em 7 de setembro de 2018. Sua investigação identificou um servidor de backup com um sistema operacional desatualizado como uma primeira possível vulnerabilidade e o desativou; como a publicação no fórum não apresentou essa descoberta como uma conclusão definitiva sobre a forma de acesso inicial, ela não é tratada aqui como a causa definitiva.

A autoridade de proteção de dados de Baden-Württemberg posteriormente multou a Knuddels em €20.000 por armazenar senhas em texto simples. O órgão regulador também levou em conta a rapidez da notificação, a cooperação, a transparência e as melhorias de segurança da empresa. A multa não representa uma contagem de pessoas ou de endereços de e-mail no conjunto de dados.

A tarefa concluída em ambiente de produção processou 808.156 linhas válidas de um arquivo que continha apenas e-mails, formado pela união de duas colunas explícitas de e-mail, e criou o mesmo número de associações únicas de e-mail. Nomes de usuário, senhas, nomes, localizações e outros campos de texto foram excluídos da importação local. O total local de e-mails é 174 menor que a contagem externa; como a versão da fonte e os detalhes de normalização não são idênticos, não se atribui uma causa à diferença.

O site oficial da Knuddels e o fórum sobre o incidente continuam em funcionamento. Uma correspondência de e-mail no índice local não comprova que a pessoa seja membro da plataforma, nem sua identidade real, sua cidade ou o uso continuado de uma senha. Se você reutilizou em outro serviço uma senha usada em 2018, na mesma forma ou em uma forma semelhante, substitua-a nesse serviço por uma senha exclusiva. Mensagens inesperadas de login ou de redefinição de senha devem ser verificadas acessando diretamente o serviço oficial, em vez de seguir o link da mensagem.