Набор данных резюме 2018 года, связанный с HeadHunter (hh.ru)

Ни один из рассмотренных здесь открытых источников не указывает точную дату инцидента, не описывает полностью способ атаки и не содержит уведомления оператора, которое однозначно идентифицировало бы этот архив. Поэтому в записи используется isVerified=false. Дата 1 января 2018 года, лишь техническое представление даты, известной с точностью до года; она не означает, что инцидент произошёл в январе. Страница отражает как измеримую связь между зафиксированным источником и открытыми метаданными, так и ограничения этой связи.

В одной конкретной строке BreachEra указаны HeadHunter, домен hh.ru, 2018 год, объём в 827 198 записей и категории данных, связанных с резюме, включая адреса электронной почты. Рассмотренный CSV содержит ровно 827 198 логических записей данных, а в его имени файла указаны и 2018 год, и объём в 827 199 физических строк. Каталог LeakedSource показывает 564 875 записей для того же названия и домена, тогда как NiamonX и 9GHz описывают около 827 тысяч записей. В общедоступный источник сведений об утечке нет записи, точно соответствующей HeadHunter. Эти противоречивые показатели объёма не используются для определения единого числа затронутых людей, поэтому pwnCount остаётся null.

Статья Vedomosti от 4 мая 2018 года описывает судебный спор HeadHunter, касающийся извлечения данных из базы резюме и доступа третьих лиц к этим данным. Статья даёт контекст несанкционированного извлечения сведений из резюме HeadHunter в 2018 году, но не доказывает, что именно этот архив был копией, фигурировавшей в споре, или что он был получен с использованием конкретной уязвимости. В собственном справочном центре HeadHunter отдельно поясняется, что контактная информация в резюме включает имя, номер телефона, адрес электронной почты и другие каналы связи, а доступ к подробным контактным данным является платной услугой. Вместе эти источники подтверждают связь с компанией, сервисом и доменом, а также смысл полей, но не дают оснований считать сам инцидент подтверждённым.

Рассмотренный архив HeadHunter_BF.7z имеет размер 59 693 254 байта и зафиксирован контрольной суммой SHA-256 e91452…ca2a. Полная проверка целостности 7z проходит успешно. Архив содержит один CSV-файл данных размером 501 590 148 байт и один файл общих метаданных релиза размером 441 байт. CSV имеет SHA-256 b4c951…3150, использует UTF-8 с маркером порядка байтов, запятую в качестве разделителя и явный заголовок, задающий 41 столбец. Файл общих метаданных не содержит ни поля электронной почты на уровне записей, ни символа @; его проверка закрыта со статусом NO_EMAIL_FIELD.

Явно указанный заголовок Email соответствует полю с индексом 6 при нумерации с нуля. Это единственное поле, разрешённое для импорта. Поля с телефоном, дополнительным телефоном, Skype, именем, страной, адресом, регионом, городом, полом, датой рождения, образованием, историей трудовой деятельности, зарплатой, профессией, предпочтениями в работе, свободным текстом и URL исключены. Тем не менее все поля (41) были проанализированы на наличие значений, в которых всё содержимое ячейки имеет форму адреса электронной почты. Вне выбранного столбца найдено 279 таких значений, преимущественно в полях Skype и имени. Ни одно из них не используется для расширения охвата или приближения результата к числу записей в каталоге, поскольку эти столбцы не признаны источниками адресов электронной почты.

Из 827 198 записей данных 591 700 содержат непустое значение в столбце электронной почты. Текущее правило canonical-ascii-email-v1 принимает 590 343 вхождения, отклоняет 1 357 непустых значений и исключает 235 498 пустых ячеек. Приведение к нижнему регистру, удаление пробельных символов по краям и устранение дубликатов во всём наборе дают 564 552 уникальных канонических адреса электронной почты. Итоговый непубличный файл имеет размер 11 595 144 байта и SHA-256 d560fc…a916; два независимо сформированных выходных файла идентичны. Это не число людей: один человек может пользоваться несколькими адресами, а одним адресом могут пользоваться несколько человек.

Результат подтверждён тремя реализациями. Скомпилированный инструмент извлечения на основе стандартного средства чтения CSV в Go, отдельно скомпилированный валидатор с собственной побайтовой реализацией конечного автомата RFC 4180 и средство чтения CSV в Python в строгом режиме дают одинаковые результаты: 827 198 записей, выбор поля 6, 590 343 принятых вхождения, 1 357 отклонённых непустых значений, 235 498 пустых ячеек и 564 552 уникальных канонических адреса. Скомпилированные инструменты также дают одинаковый поток вхождений размером 12 102 121 байт и совпадающие значения всех сводных показателей профиля из 41 поля. Проверка Mapping-admission v3 проходит с охватом источника COMPLETE, без файлов, отложенных для последующей обработки, и с явным исключением всех 279 значений в форме адреса электронной почты вне выбранного поля.

Сопоставление принадлежности адресов в действующей базе Mongo выявляет 410 683 канонических адреса, уже присутствующих в записях других инцидентов, и 153 869 адресов, отсутствующих в глобальном индексе электронной почты. Совпадения распределены по 703 идентификаторам утечек; крупнейшие группы совпадений приходятся на большие сборники учётных данных и обширные российские наборы данных. Ни одна существующая утечка сама по себе не представляет набор HeadHunter, и ни одна предыдущая задача не привязана к названию HeadHunter, домену, слагу, ключу источника, хешу архива или хешу канонического результата. Поэтому набор данных не считается уже импортированным под другим обозначением, а обычные совпадения между утечками не принимаются за доказательство того, что человек пользовался HeadHunter.

LeakData готова обрабатывать только подтверждённые связи с адресами электронной почты. Из этого источника не импортируются имена, номера телефонов, адреса, даты рождения, история трудовой деятельности, зарплаты, сведения об образовании или свободный текст резюме. Полная проверка архива не означает, что архив является полной копией данных исторического инцидента. Совпадение не доказывает, что аккаунт был активен в 2018 году, что каждое поле источника содержит актуальные сведения или что запись была предоставлена владельцем адреса. Пользователям следует остерегаться целевого фишинга под видом подбора персонала, сообщений с цитатами из старых резюме и мошенничества, связанного с восстановлением доступа к аккаунтам, а также использовать уникальные пароли и многофакторную аутентификацию везде, где она доступна.