Утечка данных Gravatar

Исследователь Carlo Di Dato сообщил 3 октября 2020 года, что маршрут JSON с числовым идентификатором позволял последовательно собирать профили практически без ограничений частоты запросов. Gravatar заявил, что сервис «не был взломан», что при автоматизированном сборе были получены имена пользователей и хеши MD5, служившие ссылками на адреса электронной почты, и что массовый сбор данных был заблокирован.

Имена и имена пользователей были общедоступными полями профилей; адрес электронной почты был представлен в виде хеша MD5. Хеш не шифровали и не расшифровывали. Поскольку MD5 без соли, детерминированная функция, предполагаемые или известные адреса электронной почты можно было хешировать и сопоставлять с имеющимися хешами, чтобы восстановить исходные адреса.

По данным общедоступный источник сведений об утечке, автоматизированным способом было собрано около 167 миллионов профилей и восстановлено 113 990 759 уникальных адресов электронной почты, которые распространялись вместе с именами и именами пользователей. Число 113 990 759 не означает количество людей, активных пользователей или впервые раскрытых адресов; 72% восстановленных адресов уже присутствовали в наборе данных общедоступный источник сведений об утечке вследствие предыдущих инцидентов. 3 октября, дата раскрытия метода, а не подтверждённая дата начала сбора итогового набора данных.

Локального набора данных с записями об отдельных людях нет. Эта запись не подтверждает текущее использование Gravatar, принадлежность профиля, совместное наличие имени и имени пользователя, компрометацию паролей или неправомерное использование данных. Связи адресов электронной почты с именами и псевдонимами, а также связи между профилями на разных сайтах могут раскрыть личности участников сообществ с чувствительной тематикой и должны оставаться конфиденциальными; пользователям следует проверять только те поля Gravatar, которые по-прежнему общедоступны.