Fuite de données chez 123RF

Les champs signalés sont les adresses e-mail, les adresses IP, les noms, les mots de passe, les numéros de téléphone, les adresses postales et les noms d’utilisateur. Le 22 mars est la date indiquée dans les données structurées; elle ne prouve pas, à elle seule, que l’accès initial ou l’exfiltration a eu lieu ce jour-là.

Le décompte local des enregistrements est de 8 582 653, soit un écart de 78 925 par rapport au nombre de comptes indiqué par la source externe. Aucun de ces nombres ne représente un nombre de personnes, de clients actifs ou de lignes regroupant tous les champs. Les mots de passe ne doivent pas être qualifiés de mots de passe en clair, associés à un algorithme de hachage précis ou considérés comme des identifiants de connexion directement utilisables tant que leur format de stockage et la fréquence de présence de ce champ n’ont pas été vérifiés à partir du schéma d’origine.

Une ligne atteste uniquement les champs effectivement présents dans le jeu de données ainsi attribué. Elle ne permet d’établir ni une identité, ni l’existence d’un compte 123RF actif, ni un rôle de photographe ou de client, ni des licences de contenus ou des achats, ni à qui appartiennent l’adresse IP, la localisation, le numéro de téléphone, l’adresse ou le mot de passe, ni la présence conjointe de champs, ni une prise de contrôle du compte ou une utilisation abusive.

Si l’authenticité d’un champ de mot de passe est confirmée et que l’ancien mot de passe a été réutilisé ailleurs, il convient de remplacer ce mot de passe. Les associations de coordonnées, d’adresses, d’adresses IP et d’identifiants de connexion doivent rester privées, et toute demande inattendue reprenant des informations de profil exactes doit être vérifiée par un canal officiel dont les coordonnées ont été obtenues de manière indépendante.