Havenly 2020 Veri İhlali

BleepingComputer örnekte giriş adları, tam adlar, e-postalar, telefonlar, posta kodları, site kullanım bilgileri ve MD5 ile karma haline getirilmiş parolalar gördüğünü bildirdi. Havenly 27 Temmuz 2020 tarihinde bilgilendirildi; beş gün sonra müşterileri oturumdan çıkardı, parola sıfırlamasını zorunlu tuttu ve bildirim yayımladı. Şirket tam kart numarası saklamadığını, bazı kayıtlarda yalnızca son dört hanenin bulunmuş olabileceğini açıkladı.

Kamuya açık ihlal kaynağı ise 25 Haziran katalog tarihiyle 1.369.180 benzersiz e-posta ve SHA-1 parola karmaları dahil daha dar bir alan listesi verir. MD5 ile SHA-1 iddiaları çelişmektedir; ham parola sütunları doğrulanmadan tek bir algoritma kesin kabul edilmemelidir. 1.369.180 benzersiz e-posta ölçüsüdür, kişi veya ham satır sayısı değildir; 25 Haziran da kesin saldırı günü olarak kanıtlanmamıştır.

Yerel içe aktarma iki parçada 1.362.325 e-posta satırı işledi ve canlı dizinde 1.362.324 benzersiz e-posta ilişkisi oluşturdu. Bu sayı kamuya açık ihlal kaynağı ölçüsünden 6.856 düşüktür. Yerel aramada parola, giriş adı, telefon, konum, site kullanımı veya kart son hanesi yoktur; eksik kaynak dosyaları ve tek satırlık işlem/dizin farkı henüz uzlaştırılmamıştır.

Özel bir sonuç yalnızca denetlenen e-postanın Havenly ile ilişkilendirilen yerel e-posta alt kümesinde geçtiğini gösterebilir. Kimlik, hesap veya müşteri sahipliği, tasarım hizmeti ya da satın alma ilgisi, ev/konum bilgisi, parola, alanların birlikte bulunması, ihlal veya kötüye kullanım çıkarılamaz. Zorunlu sıfırlama Havenly parolasını geçersiz kılmış olmalıdır; yalnızca kurtarılmış eski parolayı başka yerde yeniden kullanan kişiler bu parolayı değiştirmelidir.