Los usuarios que se han apuntado a la monitorización de la violación de contraseñas a través del servicio HaveIBeenPwned están siendo alertados de una filtración de datos a gran escala por parte de Gravatar, un servicio complementario para los perfiles de usuario propiedad de Automattic, la empresa detrás de la plataforma de blogs WordPress.

[adsenseyu1]

“En octubre de 2020, un investigador de seguridad publicó una técnica para raspar grandes volúmenes de datos de Gravatar, el servicio para proporcionar avatares únicos a nivel mundial”, advirtió HaveIBeenPwned.

El investigador es el probador de penetración de Advantio, Carlo di Dato, quien descubrió que era posible obtener y enumerar los datos de los perfiles de los usuarios de Gravatar a través del formato de intercambio de datos JSON.

Como resultado de la vulnerabilidad, “167 millones de nombres, nombres de usuario y hashes MD5 de direcciones de correo electrónico utilizados para referenciar los avatares de los usuarios fueron posteriormente raspados y distribuidos dentro de la comunidad de hackers”, dijo HaveIBeenPwned.

De los hashes MD5, algo menos de 114 millones fueron descifrados y distribuidos junto con el hash de origen, revelando así la dirección de correo electrónico original y los datos que la acompañan.