Утечка данных KitchenPal в 2023 году

В независимой публикации от 23 ноября 2023 года сообщалось, что злоумышленник предложил к продаже базу данных из 146 000 строк и опубликовал образец с данными 28 человек. В ответе KitchenPal, приведённом в публикации дословно, компания подтвердила попытку атаки на её серверы на той неделе, ограниченное раскрытие пользовательских данных, устранение проблемы, аудит всей системы и обращение к пользователям, чьи данные могли быть скомпрометированы. Компания не подтвердила способ первоначального доступа, общую длительность доступа или заявленное злоумышленником общее число строк.

Во внешней записи об утечке указана дата 14 ноября 2023 года. Там также передаётся заявление KitchenPal о том, что набор данных относился к предпродукционной среде, содержавшей небольшое число реальных пользователей для отладки, и что соответствующие пароли нельзя было использовать. Эта дата используется во внешней записи как отметка события, а не как раскрытое время первоначального доступа. Поскольку технический смысл формулировки «нельзя было использовать» не был опубликован, она не трактуется как более широкое утверждение о невозможности доступа к аккаунтам.

Помимо адресов электронной почты и имён, во внешнем наборе данных перечислены частично заполненные поля: даты рождения, пол, географическое местоположение, физические характеристики, такие как рост и вес, идентификаторы профилей в социальных сетях и хеши паролей bcrypt. Указанная неполнота означает, что нельзя предполагать наличие всех восьми категорий данных у каждого человека. Число уникальных адресов электронной почты, 98 726, и заявленные злоумышленником 146 000 строк выражены в разных единицах; строки образца не прибавляются ни к одному из этих итогов.

В рабочей среде нет задания на импорт, связанного с KitchenPal. В каждой из коллекций адресов электронной почты, имён пользователей, паролей, идентификационных данных, телефонов, IP, полей с персональными данными, чувствительных данных и общих данных об утечках число локальных связей равно нулю. Поэтому число адресов электронной почты из внешнего источника не представляется как локальные записи, доступные для поиска. Текущий домен KitchenPal работает и подтверждает, что речь идёт о приложении для управления запасами продуктов, организации покупок и планирования питания. Если пароль, использовавшийся в период инцидента, также использовался на другом сервисе, замените его там уникальным паролем; неожиданные сообщения, связанные с аккаунтом, проверяйте через официальное приложение или самостоятельно открыв домен.