KitchenPal 2023年数据泄露事件

2023年11月23日发布的独立报道称，该威胁行为者将一个包含146,000行的数据库挂牌出售，并发布了涉及28人的样本。报道直接引用了KitchenPal的回应，其中确认了当周有人尝试攻击其服务器、用户数据存在有限范围的暴露、问题已得到修复、已开展全系统审计，以及已联系数据可能受到影响的用户。公司并未确认最初的访问方式、完整的访问持续时间，也未确认行为者声称的全部行数。

外部泄露记录采用的日期为2023年11月14日，并转述了KitchenPal的说明：该数据集来自用于调试、包含少量真实用户的预发布环境，相关密码无法使用。这一日期是外部记录标注的事件日期，并非已披露的首次访问时间。由于“无法使用”的技术含义并未公开，因此不能将其延伸为账户不可能被访问这一更广泛的结论。

除电子邮箱地址和姓名外，外部数据集还列出了出生日期、性别、地理位置、身高和体重等身体特征、社交平台的个人资料标识符以及bcrypt密码哈希值，这些字段的信息并不完整。既然信息明确不完整，就不应假定每个人都同时具有这八类数据。98,726个唯一电子邮箱地址与行为者声称的146,000行采用不同的计量单位；样本行数不会计入其中任何一个总数。

生产环境中没有与KitchenPal身份标识关联的导入任务。电子邮箱、用户名、密码、身份信息、电话、IP、个人信息字段、敏感数据及一般泄露数据集合中的本地关联数量均为零。因此，外部记录中的电子邮箱数量并不代表本地可搜索的记录。KitchenPal目前的域名正常运行，可据此确认其所对应的是食品储藏管理、购物及膳食规划应用。如果在事件发生期间使用的密码也被用于其他服务，应在那些服务上将其更换为各自专用、且不在其他服务上重复使用的密码；对于意外收到的账户消息，应通过官方应用或自行访问该域名进行核实。