Утечка данных Havenly

По сообщению BleepingComputer, в образце данных были логины, полные имена, адреса электронной почты, номера телефонов, почтовые индексы, данные об использовании сайта и пароли в виде хешей MD5. С Havenly связались 27 июля 2020 года, а пять дней спустя компания завершила сеансы клиентов, потребовала сбросить пароли и отправила уведомления. Компания заявила, что не хранила полные номера банковских карт, хотя последние четыре цифры могли присутствовать в некоторых записях.

При этом общедоступный источник сведений об утечке сообщает о 1 369 180 уникальных адресах электронной почты в записи каталога с датой 25 июня и указывает более ограниченный перечень полей, включающий хеши паролей SHA-1. Сведения о MD5 и SHA-1 противоречат друг другу; пока подлинность исходных столбцов с паролями не подтверждена, ни один из этих алгоритмов нельзя считать достоверно установленным. Показатель 1 369 180, это число уникальных адресов электронной почты, а не людей или строк исходных данных. Кроме того, не доказано, что 25 июня, точная дата атаки.

В ходе локального импорта из двух частей было обработано 1 362 325 строк с адресами электронной почты и создано 1 362 324 уникальные привязки адресов электронной почты в действующем индексе, на 6 856 меньше показателя общедоступный источник сведений об утечке. Пароли, логины, номера телефонов, местоположения, данные об использовании сайта и фрагменты данных банковских карт недоступны для локального поиска. Вопрос об отсутствующих исходных файлах и расхождение в одну строку между результатами обработки и индексом остаются неразрешёнными.

Результат приватной проверки может установить лишь то, что адрес электронной почты, который вы контролируете, присутствует в локальной выборке адресов, относимой к Havenly. Он не позволяет установить личность, принадлежность аккаунта или статус клиента, интерес к дизайнерским услугам или покупкам, сведения о жилье или местоположении, пароль, наличие разных полей в одной записи, факт компрометации или неправомерного использования. Принудительный сброс пароля в Havenly должен был сделать пароль для этого сервиса недействительным; менять его на других сервисах следует только тем, кто использовал там тот же восстановленный старый пароль.