Утечка данных JD.com в 2013 году

В проверенной записи указаны четыре категории структурированных данных в наборе объёмом 13 GB: адреса электронной почты, имена пользователей, номера телефонов и хеши паролей SHA-1. Хеш SHA-1, это не пароль в открытом виде, но по современным стандартам хранения паролей он обеспечивает слабую защиту, а короткие или повторно используемые пароли по-прежнему подвержены риску подбора в автономном режиме.

В публикациях 2016 года также описывался более широкий состав данных, включая аккаунты QQ и идентификационные номера, в пакете объёмом около 12 GB, который распространялся в то время. Поскольку не установлено, что размер и состав этого пакета совпадают с проверенным внешним набором, эти дополнительные сведения не включены в четыре категории структурированных данных. Данные платёжных карт, история заказов и банковские счета также не входят в текущий перечень структурированных данных.

Поскольку источники не раскрывают точный день утечки, значение «1 января 2013 года» в поле даты, лишь условное обозначение года; оно не подтверждает, что событие произошло 1 января. Декабрь 2016 года, период заявления компании и публикаций о пакете данных, выставленном на продажу, а не дата отдельной утечки.

Число 77 449 341 обозначает количество уникальных адресов электронной почты в проверенном внешнем наборе данных. Это не количество аккаунтов, людей или всех строк в исходных файлах. В рабочей среде нет ни задачи импорта JD, ни локально проиндексированного набора адресов электронной почты, паролей, номеров телефонов или имён пользователей, поэтому это число не приводится как итоговый показатель локальных данных.

Проверенная запись об утечке содержит точное количество адресов электронной почты, четыре поля и сведения о SHA-1. Публикация TechNode от 12 декабря 2016 года ссылается на официальное заявление компании в WeChat и сообщает, что JD подтвердила событие 2013 года. Другая страница вторичного источника, на которую ранее ссылалась проверенная запись, теперь возвращает 404 и поэтому не используется как публичный источник.

Если пароль, который вы использовали на JD.com в 2013 году, также использовался в другом сервисе, замените его там на уникальный пароль и включите многофакторную аутентификацию, если она доступна. Вместо перехода по ссылкам в неожиданных сообщениях о доставке, возврате средств, акциях или сбросе пароля открывайте адрес JD напрямую.

Совпадение адреса электронной почты не доказывает, что пароль хранился в открытом виде, аккаунт был захвачен или произошла утечка платёжных данных и сведений о заказах. Подтверждённый состав данных в этой записи ограничивается полями адреса электронной почты, имени пользователя, номера телефона и хеша пароля SHA-1 во внешнем наборе.