Утечка данных Kickstarter в 2014 году

Во внешней записи об утечке указана дата 16 февраля 2014 года. Уведомление Kickstarter о безопасности подтверждает инцидент и категории затронутых полей, но не раскрывает, когда злоумышленник впервые проник в систему. Поэтому дату в каталоге не следует считать датой первоначального доступа. Компания заявила, что у неё нет свидетельств доступа к данным кредитных карт и что на момент публикации уведомления она обнаружила несанкционированную активность лишь в двух аккаунтах. Эта ограниченная формулировка не означает, что данные не были похищены, и не исключает их последующего неправомерного использования.

По словам компании, для старых паролей использовалась уникальная соль и многократное хеширование с помощью SHA-1, а для новых, bcrypt. Это не были пароли в открытом виде, но это не означает, что их невозможно подобрать в офлайн-режиме. Данные кредитных карт не сохраняются в виде отдельной структурированной категории. Имена также не включены, поскольку выбранный набор источников не указывает их однозначно среди категорий данных, подтверждённых для этого инцидента в целом.

В ходе завершённого импорта в рабочую систему, который включал только адреса электронной почты, было обработано 5 169 669 корректных строк и создано 5 169 660 уникальных связей с адресами электронной почты в рабочем индексе. Локальное задание не импортировало имена пользователей, пароли, номера телефонов или почтовые адреса, поэтому не утверждается, что эти поля совместно присутствуют в локальных данных. Количество уникальных адресов электронной почты во внешнем наборе на 6 803 превышает число локальных связей. Данные не были сверены с учётом различий в версиях наборов, нормализации и дедупликации; причина расхождения не указывается, и эти значения не суммируются.

Действующий домен Kickstarter и уведомление об инциденте по-прежнему доступны. Само по себе совпадение адреса электронной почты не доказывает, что человек создал проект, поддержал конкретную кампанию или что в данных инцидента присутствовали поля с его номером телефона и почтовым адресом. Если вы могли использовать тот же пароль на другом сервисе, следует задать для этого сервиса уникальный пароль. Вы также можете воспользоваться доступными сейчас в Kickstarter функциями двухфакторной аутентификации и просмотра истории доступа. Неожиданные сообщения об аккаунте или платежах следует проверять, самостоятельно переходя на официальный домен, а не по ссылке из сообщения.