Kickstarter 2014 Veri İhlali

Dış ihlal kaydı 16 Şubat 2014 tarihini kullanır. Şirketin güvenlik duyurusu olayı ve veri alanlarını doğrulasa da saldırganın sisteme ilk ne zaman girdiğini açıklamaz; bu nedenle katalog tarihi erişim başlangıcı gibi yorumlanmaz. Şirket, kredi kartı verilerine erişildiğine dair kanıt bulunmadığını ve duyuru sırasında iki hesap dışında yetkisiz hesap etkinliği görülmediğini bildirdi. Bu sınırlı ifade, hiç veri alınmadığı veya daha sonra kötüye kullanım olamayacağı anlamına gelmez.

Şirket açıklamasına göre eski parolalar benzersiz tuzlarla SHA-1 kullanılarak birden çok kez özetlenmiş, daha yeni parolalar bcrypt ile korunmuştur. Bunlar düz metin parola değildir; yine de çevrim dışı tahmin saldırıları açısından risksiz sayılmaz. Kredi kartları yapılandırılmış veri sınıfına eklenmemiştir. Adlar da seçili kaynak setinde genel ve doğrulanmış bir alan olarak açıkça listelenmediği için korunmamıştır.

Üretimdeki tamamlanmış, yalnız e-posta içeren import işi 5.169.669 geçerli satır işlemiş ve canlı dizinde 5.169.660 benzersiz e-posta ilişkisi oluşturmuştur. Yerel iş kullanıcı adı, parola, telefon veya posta adresi içe aktarmamıştır; bu alanların yerel eşleşmeyle birlikte bulunduğu iddia edilemez. Dış benzersiz e-posta ölçüsü yerel ilişkilerden 6.803 daha yüksektir. Veri kümesi sürümü, normalizasyon ve tekilleştirme farkları uzlaştırılmadığı için farkın nedeni atanmaz ve sayılar toplanmaz.

Kickstarter'ın güncel alan adı ve olay duyurusu çalışmaktadır. E-posta eşleşmesi tek başına kişinin proje oluşturduğunu, belirli bir projeyi desteklediğini veya telefon ve adres alanlarının o kişide bulunduğunu göstermez. Aynı parolanın başka bir hizmette kullanılmış olabileceği düşünülüyorsa o hizmette benzersiz bir parola seçilmeli; Kickstarter hesabı için mevcut iki adımlı doğrulama ve erişim geçmişi özellikleri kullanılmalıdır. Beklenmedik hesap veya ödeme mesajları, mesaj içindeki bağlantı yerine doğrudan resmî alan adı üzerinden doğrulanmalıdır.