A lista de clientes divulgada da Carhartt estava meio inventada. A outra metade é real.
Os números redondos numa fuga de dados são normalmente a estimativa de alguém. Este foi auditado e ficou reduzido a metade.
O grupo de extorsão ShinyHunters publicou cerca de 50 GB de dados de clientes da Carhartt a 13 de agosto, depois de a marca de roupa de trabalho se ter recusado a negociar uma exigência de 3,3 milhões de dólares. O ficheiro parecia abranger mais de 25 milhões de pessoas. Troy Hunt, que gere o Have I Been Pwned, percorreu-o e descobriu que milhões de registos tinham sido simplesmente inventados para inflacionar o total. Alguns dos sinais são quase divertidos: endereços como michelle.larue@lkvb06fkzsjv.org, uma pilha suspeita de domínios .edu e .org, datas de nascimento concentradas no início do século XX e mais clientes no Montenegro do que nos Estados Unidos. Retirada a ficção, a contagem genuína ficou em 12 933 413 endereços de correio eletrónico, adicionados ao HIBP a 25 de agosto.
O que sobra é bem real. Nomes, endereços de correio eletrónico, números de telefone e endereços postais de quase 13 milhões de compradores, retirados, segundo a análise de Hunt, do armazém de análise de clientes da Carhartt alojado em Databricks. Não há palavras-passe nem números de cartão no conjunto publicado. Cerca de 83% dos endereços já tinham aparecido em fugas anteriores, o que diz muito sobre como estas listas se acumulam ao longo dos anos: vendidas, fundidas, revendidas e, no fim, recheadas de linhas inventadas para parecerem mais assustadoras do que são.
Não há aqui nada para redefinir, o que faz disto um problema de phishing e não de contas. Quem tiver o seu nome, o número de telemóvel e a morada consegue escrever uma mensagem sobre uma entrega falhada ou um email de reembolso muito convincentes, e é precisamente para isso que estes dados servem. Pode verificar se o seu endereço está no conjunto em haveibeenpwned.com. E como uma tentativa de phishing bem sucedida acaba sempre por aterrar numa conta, a verificação de privacidade e contas do Tendvane dá-lhe um resumo simples de como cada conta do seu PC está autenticada e ao que dá acesso.