Утечка данных Pi-hole

В этой записи представлены адреса электронной почты и имена. Наличие полей с паролями, данными платёжных карт или суммами пожертвований не было подтверждено. Неподтверждённые поля с данными платёжных карт, банковских счетов, личными сообщениями, медицинскими записями или дополнительными сведениями профиля не добавлялись в список категорий данных; были сохранены только поля, наличие которых подтверждено.

Имена и адреса электронной почты жертвователей могут использоваться в поддельных квитанциях о пожертвованиях, объявлениях от имени проекта или сообщениях об обновлениях безопасности. Сам по себе адрес электронной почты создаёт риск нежелательных сообщений; в сочетании с номером телефона, адресом, IP, датой рождения, паролем, планами поездок, частичными данными карты или данными устройства он облегчает злоумышленнику подготовку персонализированного сообщения для пользователя. Оценка риска учитывала этот совокупный эффект.

Объём утечки был подтверждён на основании 29 926 записей о жертвователях за июль 2025 года. Подтверждённые сведения были сохранены, а неподтверждённые, исключены. Этот инцидент не объединялся с наборами данных со схожими названиями, инцидентами той же компании за другие периоды или ошибочными отраслевыми сведениями.

Запись ограничена доменным именем pi-hole.net и списком жертвователей; данные сетевых устройств пользователей не представлялись как затронутые утечкой. Доменное имя, название компании и сведения об отрасли были указаны в максимально узком и точном контексте. Там, где сохранялась неопределённость, отметки о подтверждении или домены сайтов указывались с её учётом; таким образом, бренду не приписывалась неподтверждённая ответственность.

В группу риска могут входить люди, которые делают пожертвования проекту Pi-hole или указывают своё имя и адрес электронной почты в форме пожертвования. Пользователям, чьи данные совпадают с данными в записи, также следует оценить состояние других аккаунтов, в которых за пределами этого сервиса используются тот же адрес электронной почты, номер телефона, имя пользователя или пароли, построенные по одному шаблону.

Пользователи с техническими знаниями могут быть более лёгкой мишенью для атак с использованием поддельных ссылок на обновления безопасности или квитанции о пожертвованиях. Риск социальной инженерии может возрастать при наличии контекста, связанного с корпоративной электронной почтой, учебной учётной записью, бронированием отеля, подпиской на услуги связи, игровым сообществом, пожертвованием проекту с открытым исходным кодом или программным обеспечением для мониторинга. Сами по себе правдоподобные детали не гарантируют, что сообщению можно доверять.

Затронутым пользователям следует проверять полученные от имени Pi-hole квитанции о пожертвованиях, сообщения об обновлениях и уведомления безопасности через официальный сайт. Если в записи есть поле с паролем, следует сменить пароль во всех аккаунтах, где используется тот же пароль; если поля с паролем нет, основное внимание следует уделить рискам, связанным с электронной почтой, телефоном, поддельными уведомлениями, конфиденциальностью и сопоставлением данных для установления личности.

Вместо перехода по ссылкам из сообщения следует вручную вводить адрес соответствующего сервиса или использовать запись в доверенном менеджере паролей. Сообщения о доставке, предупреждениях об аккаунте, игровых наградах, поддержке, уведомлениях для жертвователей, бронировании поездок, безопасности или продлении подписки не следует принимать на веру без проверки через независимый канал.

Использование отдельного адреса электронной почты для пожертвований проектам с открытым исходным кодом и отказ от хранения платёжных данных снижают риск. Пользователям следует регулярно удалять старые аккаунты, ненужные поля профиля, повторяющиеся имена пользователей, а также устаревшие номера телефонов и адреса. Базовым правилом должны стать уникальный пароль для каждого сервиса и двухэтапная проверка везде, где она доступна.

Поставщикам услуг необходимы минимизация данных, надёжная защита паролей, мониторинг журналов доступа, удаление ненужных полей и заранее подготовленные процедуры уведомления пользователей. Плагины для пожертвований и сторонние формы требуют регулярных проверок безопасности. Точное описание объёма утечки также является частью работы по обеспечению безопасности; преувеличенная или неполная информация может ввести пользователя в заблуждение и побудить его к неверным действиям.

В этой записи пользователю следует прежде всего проверить свой адрес электронной почты. Если найдено совпадение, следует исходить из того, что имя и адрес электронной почты могут использоваться в сообщениях на тему проекта; при этом нужно учитывать, что данные устройств или DNS в эту запись не входят. Отсутствие совпадения не исключает полностью ни использования другого адреса электронной почты, ни повторного использования старого пароля; важные аккаунты следует проверить отдельно.

Запись сохранила статус подтверждённой; её объём был ограничен контактными данными жертвователей. При таком оформлении поля данных были оставлены в виде канонических классов на английском языке, видимое пользователю описание было написано на турецком языке как оригинальный текст, неподтверждённые поля не добавлялись, а отметка о чувствительных данных использовалась только тогда, когда её применение было обосновано характером риска.