Набор данных, связанный с форумом Horse & Hound (2017)

Он не представлен как подтверждённый инцидент безопасности. Не найдено уведомления Horse & Hound, которое связывало бы изученный архив с конкретным инцидентом, поэтому необходимо указать isVerified=false. Дата 1 января 2017 года, лишь техническое представление даты с точностью до месяца; она не означает, что инцидент произошёл именно в этот день. Число затронутых лиц без учёта повторов неизвестно, поэтому pwnCount остаётся null.

Связь с событием установлена по двум отдельным публичным каталогам. BreachEra в одной строке указывает Horse and Hound, horseandhound.co.uk, 2017 год, объём в 95 337 записей и следующие категории данных: адреса электронной почты, IP-адреса, имена пользователей и пароли. Leak-Lookup сообщает о 95 338 записях для того же домена и перечисляет в своей статистической схеме столбцы имени пользователя, адреса электронной почты, IP-адреса, пароля и соли. Разница в одну запись между этими каталогами полностью объясняется одной записью-преамбулой в зафиксированном источнике, которая не содержит собственно данных. Данные не отбирались и не дополнялись лишь ради приближения к итоговому числу из каталога.

Изученный архив HorseAndHound_BF.7z имеет размер 4 529 396 байт и зафиксирован хешем SHA-256 ee05e8…5352. Полная проверка целостности 7z прошла успешно. Основной файл архива называется Forums-secure.horseandhound.co.uk_vb_January_2017.txt, имеет размер 8 868 144 байт и хеш SHA-256 b69419…7ca2. Источник содержит 95 338 физических записей: одну преамбулу и 95 337 записей с данными. Отдельная общая заметка о распространении объёмом 441 байт не содержит построчного поля электронной почты. Она была учтена как метаданные, не относящиеся к электронной почте, и её обработка была завершена; для расширения источника её не использовали.

Основной источник не является обычным CSV с явно заданным заголовком. Его записи похожи на представление vBulletin с двоеточиями в качестве разделителей и переменным числом полей, поскольку сами имена пользователей могут содержать двоеточия. При анализе единственный в каждой записи с данными 32-символьный шестнадцатеричный хеш пароля использовался как структурный ориентир, а измерения проводились для поля с признаками адреса электронной почты, расположенного за две позиции до него. Структура каждой из 95 337 записей с данными позволяет применить это правило. Тем не менее назначение поля определяется по косвенным признакам, а не задано заголовком, поэтому политика безопасности устанавливает более высокий порог допуска.

Два независимых скомпилированных парсера на Go с разными реализациями обработали один и тот же полный набор файлов архива и сформировали побайтово идентичные потоки вхождений и канонических значений. Оба сообщили о 94 917 принятых вхождениях, 94 876 уникальных канонических результатах, 41 повторном вхождении, 390 отклонённых непустых значениях и 30 пустых позициях. Охват выбранного поля составляет около 99,56 процента, тогда как наиболее подходящее альтернативное поле с признаками адреса электронной почты содержит лишь 90 кандидатов. Эти измерения дают веские основания для вывода, однако mapping-admission v3 требует не менее 100 000 принятых вхождений для сопоставления, установленного по косвенным признакам.

Выявленные 94 917 вхождений на 5 083 меньше этого обязательного минимума. Поэтому проверка допуска завершилась отказом с кодом INFERENCE_OCCURRENCES_TOO_SMALL. Порог не снижали, другие поля не добавляли ради соответствия числу из каталога, а 94 876 канонических результатов не публиковали как число затронутых лиц. Наличие этой записи метаданных не означает, что были импортированы какие-либо связи с адресами электронной почты: canonicalEmailCount имеет значение null, importedRecordCount=0, а обработка остаётся в ожидании. Создание пакета READY, задания импорта или связи с адресом электронной почты в Mongo недопустимо, пока сопоставление не пройдёт проверку допуска.

Сопоставление с актуальным глобальным индексом проводилось только в рамках аудита. Из канонического набора, полученного по косвенным признакам, 73 670 значений уже присутствовали в глобальном индексе адресов электронной почты, а 21 206 отсутствовали; совпадения распределялись по 798 идентификаторам утечек. Это распределение не позволило отнести источник Horse & Hound к одной из существующих записей. Ни одно прежнее задание импорта не было связано с ним по тому же ключу источника, SHA архива, SHA канонических данных или совпадению имени файла. Само по себе пересечение не доказывает, что адрес относится к этому форуму. Оно показывает лишь, что то же каноническое значение встречается в других наборах данных.

Метаданные Wayback CDX, проверенные без загрузки содержимого архивных страниц, подтверждают наличие успешных снимков защищённого поддомена форума в течение 2017 года. Текущий официальный домен Horse & Hound также помогает установить принадлежность сервиса. При этом ни в общедоступный источник сведений об утечке, ни в NiamonX не найдено точно соответствующей записи, а раскрытие информации об инциденте непосредственно со стороны Horse & Hound не обнаружено. Эти отрицательные результаты проверок не доказывают отсутствия инцидента; они обозначают границы подтверждения. Поэтому запись сохраняет осторожность в атрибуции, не утверждает, что охватывает событие целиком, и подлежит повторной оценке, если появится уведомление от самой компании или явно заданная схема источника.