Gravatar

Информация об инциденте безопасности в Gravatar (сервисе глобальных аватаров, принадлежащем компании Automattic / WordPress) относится к концу 2020 года, однако широкую огласку и массовое обсуждение в сети (включая добавление в базу HIBP ) это событие получило в декабре 2021 года.

Что произошло?

Строго говоря, это был не классический взлом серверов (hack), а масштабный скрейпинг (массовый сбор) публичных данных:

• Исследователь безопасности продемонстрировал, что API Gravatar позволял перебирать числовые ID профилей и массово выгружать информацию, которую пользователи сделали публичной.
• В руки злоумышленников попало до 167 миллионов записей: имена пользователей, никнеймы и MD5-хэши адресов электронной почты.
• Из них около 114 миллионов MD5-хэшей были успешно расшифрованы (брутфорсом), что позволило сопоставить их с реальными email-адресами.
• В некоторых профилях также содержались дополнительные данные, если пользователи указывали их публично: номера телефонов, ссылки на соцсети, местоположение или криптокошельки.

Реакция Gravatar

Сама компания Automattic не классифицировала этот инцидент как традиционную утечку данных, поскольку вся собранная информация изначально была общедоступной через интерфейс сервиса (логика Gravatar построена так, чтобы отдавать профиль по хэшу почты). По этой причине массовых официальных рассылок с предупреждениями пользователям не производилось, однако в ответ на инцидент на сайте сервиса был опубликован FAQ с разъяснениями.

Каковы риски и что делать?

Поскольку в базе оказались реальные email-адреса и привязанные к ним имена/никнеймы, главный риск — это увеличение объема спама, фишинговых писем и таргетированных атак социальной инженерии. Пароли от аккаунтов при этом скомпрометированы не были (их просто не было в выгрузке, так как Gravatar использует хэши).

Проверить, попал ли ваш адрес в этот инцидент, можно на странице HIBP для Gravatar.