Утечка данных Jefit в 2020 году

Компания Jefit сообщает, что после нескольких обращений пользователей обнаружила инцидент с данными, вызванный ошибкой в системе безопасности, защитила свои серверы и затронутые аккаунты, устранила ошибку, провела расследование методами компьютерной криминалистики и связалась с правоохранительными органами. В уведомлении компании говорится, что могли быть затронуты аккаунты, зарегистрированные до 20 сентября 2020 года.

В заявлении компании не указано, в какой именно день был впервые получен доступ, кто его получил и в какой период были получены данные. Поэтому 11 августа указывается как дата из проверенной внешней записи, а не как точная дата доступа, раскрытая компанией. 19 марта 2021 года, дата публичного уведомления, а не отдельной утечки.

В уведомлении компании перечислены имя пользователя аккаунта, связанный с аккаунтом адрес электронной почты, пароль, хешированный с использованием уникальной для каждого аккаунта соли, и IP-адрес, зафиксированный при создании аккаунта. Также в нём говорится, что IP-адрес был не у каждого аккаунта. Поскольку платежи обрабатывали сторонние магазины или платёжные компании, Jefit сообщает, что не хранила платёжную информацию клиентов и что финансовые данные не были затронуты.

В проверенной внешней записи сообщается, что пароли были представлены в виде хешей vBulletin или Argon2 и что несколько миллионов паролей, восстановленных из хешей, впоследствии распространялись. Это техническое уточнение основано на анализе внешнего набора данных; оно не означает, что компания заявляла об использовании одного и того же алгоритма для всех аккаунтов или о взломе паролей всех аккаунтов. Медицинские данные, история тренировок, личные сообщения, данные платёжных карт и банковских счетов не входят в число категорий данных, утечка которых подтверждена.

Число 9 052 457, это количество уникальных адресов электронной почты в проверенном внешнем наборе данных. При выполнении задания по обработке одного столбца в рабочей среде были обработаны 9 034 605 строк с адресами электронной почты и созданы 9 033 145 уникальных связей с адресами электронной почты. Локальный файл был нормализован на основе столбца с адресами электронной почты в исходной структуре данных Jefit; пароли, имена пользователей и IP-адреса не импортировались.

Количество уникальных адресов электронной почты в локальной выборке на 19 312 меньше внешнего показателя. Источники не объясняют расхождения, связанные с версией набора данных, нормализацией и удалением дубликатов, поэтому эти значения не объединяются. Совпадение в локальной выборке подтверждает только наличие адреса электронной почты; оно не доказывает, что для того же человека в наборе присутствовали пароль, имя пользователя или IP-адрес.

Если пароль, который вы использовали в Jefit в 2020 году, также использовался в другом сервисе, замените его в том сервисе уникальным паролем и включите многофакторную аутентификацию, если она доступна. В своём уведомлении компания также рекомендует действующим пользователям заменить пароль Jefit на более надёжную комбинацию.

Вместо перехода по ссылкам в неожиданных сообщениях об участии в сервисе, планах тренировок, привязке устройств или сбросе пароля открывайте сайт или приложение Jefit напрямую. Совпадение адреса электронной почты не подтверждает утечку финансовых или медицинских данных либо данных о тренировках; подтверждённый перечень ограничивается адресом электронной почты, именем пользователя, IP-адресом, зафиксированным при создании аккаунта, и хешем пароля.