Сообщение об утечке данных EliteMeeting в 2015 году

В текущем обновлении по открытым источникам HEROIC описывает EliteMeeting как бывшую платформу знакомств и сообщает, что адреса электронной почты и пароли в открытом виде были раскрыты примерно в январе 2015 года. В каталоге BreachEra для той же организации и домена elitemeeting.com указаны 569 733 записи за 2015 год. Sysinfo также содержит отдельную запись каталога за 2015 год для EliteMeeting и этого домена. Эти источники дают основания для идентификации инцидента и определения заявленных типов данных, но нет первичного уведомления от оператора данных, регулятора или другого непосредственно ответственного органа, которое подтверждало бы эту версию архива. Поэтому запись опубликована как неподтверждённое сообщение от третьих сторон, а значение isVerified остаётся false.

В записи не указывается точный месяц или день инцидента. HEROIC и Sysinfo указывают на январь 2015 года, тогда как ранее зафиксированные доказательные материалы LeakCheck указывали на декабрь 2014 года. Это расхождение сохранено, а версия большинства источников не стала основанием для указания точной даты. Дата 1 января 2015 года, сохранённая в каталоге, лишь техническое представление начала года; она не означает, что инцидент произошёл в этот день или в этом месяце. Поэтому для breachDatePrecision сохранено значение year. HEROIC сообщает о 562 459 аккаунтах, Sysinfo, о 567 356, LeakCheck описывает около 551 тысячи записей, а BreachEra указывает 569 733 строки. Эти противоречивые общедоступные показатели не согласовывались с помощью догадок, не использовались для сокращения или дополнения канонического набора адресов электронной почты и не считаются точным числом затронутых людей.

Проверенный архив 7z объёмом 6 744 606 байт успешно прошёл проверку целостности. Он содержит два обычных файла общим логическим объёмом 18 527 549 байт и не содержит вложенных архивов. Основной файл, EliteMeeting/data/elitemeeting.com_2015.txt, представляет собой поток данных без заголовка, с полями, разделёнными двоеточиями. Он содержит 569 733 записи с окончаниями строк CRLF и от двух до пяти полей в каждой записи. В имени файла указаны домен организации и год 2015, а общедоступные сообщения независимо описывают этот набор данных как пары адресов электронной почты и паролей. Второй файл, Breached_Info.txt, был полностью просканирован, не содержал ни поля электронной почты, ни знака @ и получил классификацию NO_EMAIL_FIELD. Все элементы архива классифицированы; нет элементов с отложенной обработкой, зашифрованных элементов, элементов с небезопасным путём или элементов, исключённых по неоднозначным основаниям.

В качестве поля электронной почты выбирается только полное содержимое первой ячейки каждой записи, где разделителем служит двоеточие. Две независимые программы на Go с разным исходным кодом и разными скомпилированными бинарными файлами просканировали весь файл данных объёмом 18 527 167 байт. Одна реализация обрабатывает данные потоково, а другая загружает весь файл в буфер и использует иной метод проверки. Их результаты полностью совпадают: 569 733 физические записи, 571 979 знаков @, 564 019 вхождений допустимых адресов электронной почты в первом поле и 5 714 записей с отклонённым первым полем. Характеристики всех последующих полей также были проанализированы, чтобы проверить границы сопоставления. В полях паролей обнаружено 191 значение, которое случайно напоминало адрес электронной почты; 189 из них были уникальными, а 58 не встречались в выбранном наборе адресов электронной почты. Все они были исключены, поскольку по своему смысловому положению относятся к полю пароля. Значения паролей не сохранялись, не включались в выборки и не импортировались.

После удаления 1 857 повторных вхождений из 564 019 принятых вхождений адресов электронной почты получен отсортированный канонический набор из 562 162 уникальных адресов. Два новых парсера дали побайтово идентичные результаты SHA-256 для вхождений и канонического набора, а канонический файл также совпадает с независимо сформированными доказательными материалами, зафиксированными 17 августа. Не было ошибок разбора, ошибок сканирования, подгонки под числа из каталогов, объединения данных из разных полей или извлечения токенов из отклонённых записей. totalRecords обозначает 569 733 физические строки исходных данных; canonicalEmailCount и affectedCountLowerBound обозначают 562 162 проверенных уникальных канонических адреса электронной почты. Ни один из этих показателей не является числом уникальных людей: один человек может использовать несколько адресов, адреса могут быть общими, а архив может не охватывать весь инцидент. Точное число затронутых людей неизвестно, поэтому значение pwnCount остаётся null.

Само по себе совпадение не доказывает, что владелец адреса пользовался EliteMeeting, пользовался им в определённую дату или до сих пор использует пароль, найденный в исходных данных. Чтобы снизить риск ошибочных выводов на основании совпадений, в этой записи явно указаны неподтверждённый статус, точность даты только до года, противоречивые числа из открытых источников и ограничение импорта только адресами электронной почты. Если вы использовали тот же пароль на другом сервисе, смените его, включите многофакторную аутентификацию там, где она доступна, проверяйте неожиданные ссылки через независимый канал и будьте особенно осторожны с фишинговыми сообщениями или сообщениями вымогателей, которые пытаются воспользоваться деликатным контекстом знакомств.