8fit Fuite de données

Les catégories de données vérifiées comprennent des adresses e-mail, des noms, des genres, des localisations géographiques, des adresses IP, des empreintes de mots de passe bcrypt, des jetons d'authentification expirés et des photos de profil. Le catalogue de référence recense 15 025 407 adresses e-mail uniques, tandis que l'avis publié par l'entreprise indiquait que des informations concernant environ 20 millions d'utilisateurs pouvaient avoir été touchées; ces chiffres portent sur des périmètres différents et ne doivent pas être fusionnés en un seul total. Les mots de passe étaient stockés sous forme d'empreintes bcrypt, et non en clair. Les mots de passe faibles ou réutilisés peuvent néanmoins rester vulnérables aux tentatives de cassage hors ligne et mettre en danger des comptes sur d'autres services. L'entreprise a déclaré que certains jetons d'authentification Facebook avaient expiré : leur présence ne signifie donc pas automatiquement qu'il était possible d'accéder à une session active. Elle a également indiqué que les informations de paiement, les numéros de sécurité sociale et les conversations entre utilisateurs et coachs n'avaient pas été obtenus.

La fuite s'est produite en juillet 2018 et, selon les informations communiquées, les comptes créés après ce mois n'ont pas été touchés. 8fit a eu connaissance d'un incident potentiel le 8 février 2019; les données ont été proposées à la vente sur une place de marché du dark web ce même mois, puis ajoutées au catalogue vérifié le 21 mars 2019. L'entreprise a déclaré avoir ouvert une enquête, collaboré avec des sociétés de sécurité et les forces de l'ordre, contacté les utilisateurs et renforcé ses systèmes. Les éléments disponibles confirment une fuite directe des données des utilisateurs de 8fit, mais la vulnérabilité technique précise ayant permis l'accès n'a pas été publiquement vérifiée. L'événement est donc classé comme une fuite de base de données plutôt que comme une violation de données chez un fournisseur tiers, sans affirmer qu'une injection SQL, un compte d'employé, une configuration du cloud ou une autre méthode d'accès en était à l'origine.

Le risque est le plus élevé pour les personnes qui ont réutilisé leur mot de passe 8fit de 2018 sur des comptes de messagerie, de réseaux sociaux, d'achats en ligne ou professionnels. Bcrypt offre une solide couche de protection, mais des mots de passe courts, prévisibles ou courants peuvent tout de même être découverts avec suffisamment de temps et de puissance de calcul. Un nom, un genre, une localisation, une adresse IP et une photo de profil peuvent aider un attaquant à créer des messages convaincants portant sur l'adhésion à un service de fitness, un abonnement, l'assistance d'un coach ou la réinitialisation d'un mot de passe. Un résultat positif ne prouve ni une prise de contrôle actuelle du compte, ni un vol d'informations de paiement, ni une exposition de dossiers médicaux. Les jetons expirés ne donnent pas directement accès à une session Facebook actuelle, même s'il reste utile de vérifier les comptes connectés et les autorisations des applications. Même un compte 8fit inactif peut présenter un risque si la même adresse e-mail et le même schéma de mot de passe sont encore utilisés ailleurs. Une évaluation rigoureuse prend en compte à la fois la réutilisation des mots de passe, la date du dernier changement de mot de passe, les sessions actives et les messages suspects personnalisés.

Si vous avez réutilisé le mot de passe de votre compte 8fit de 2018, ou une variante proche, créez un mot de passe long et unique sur chaque service concerné. Sécurisez en priorité votre compte de messagerie principal, votre gestionnaire de mots de passe, vos services financiers et les autres comptes permettant de réinitialiser l'accès à des comptes. Examinez les sessions actives et les appareils reconnus, vérifiez les informations de récupération et activez une clé d'accès ou l'authentification multifacteur lorsque ces options sont disponibles. Ne considérez pas une version du même mot de passe à laquelle vous avez ajouté un chiffre ou un symbole comme un mot de passe indépendant. Évitez de suivre les liens dans des messages qui prennent pour prétexte 8fit, des programmes de fitness, un renouvellement d'abonnement, des problèmes de paiement ou un contact avec un coach; ouvrez directement le site ou l'application que vous connaissez. Vérifiez les autorisations des applications sur les comptes Facebook et les autres comptes de réseaux sociaux connectés, et supprimez les accès que vous n'utilisez plus. Si vous constatez une réinitialisation inattendue, une alerte de nouvel appareil ou une notification concernant une règle de transfert, lancez la procédure officielle de récupération du service.

Un gestionnaire de mots de passe qui génère un mot de passe aléatoire distinct pour chaque service limite les prises de contrôle de comptes en cascade, même si le mot de passe correspondant à une ancienne empreinte bcrypt finit par être découvert. Passez aux clés d'accès lorsque les services les prennent en charge et utilisez une authentification résistante à l'hameçonnage sur votre compte de messagerie principal. Conservez les codes de récupération hors ligne et vérifiez régulièrement les applications connectées ainsi que les autorisations de connexion via les réseaux sociaux. Gardez à l'esprit qu'une photo de profil, une localisation et un intérêt pour le fitness peuvent rendre des messages ciblés plus convaincants, et vérifiez les demandes sensibles par un canal indépendant. Les organisations qui constatent la présence d'adresses e-mail de leurs employés dans les données doivent associer la réinitialisation des mots de passe à la révocation des sessions, à la prévention de la réutilisation des mots de passe et à la surveillance des connexions suspectes. Les fournisseurs de services doivent combiner des paramètres modernes de hachage des mots de passe, des sels uniques, une segmentation des accès, une minimisation des données et une détection des incidents. Les comptes inutilisés et les champs de profil superflus doivent être supprimés à intervalles réguliers.

Vérifiez votre adresse e-mail à l'aide du champ de recherche sécurisé pour savoir si elle figure dans les données de la fuite 8fit et, en cas de résultat positif, donnez la priorité au changement de vos mots de passe. Un résultat ne signifie pas que le mot de passe correspondant à l'empreinte bcrypt a nécessairement été découvert, qu'un tiers a pris le contrôle du compte ou que des données de paiement et de santé ont été exposées; il indique que l'adresse figure dans le jeu de données vérifié. Repensez à la manière dont vous composiez vos mots de passe à l'époque, remplacez tout mot de passe identique ou similaire partout où il est encore utilisé et examinez les sessions récentes de votre compte de messagerie principal. Vérifiez les messages inattendus concernant le fitness ou un abonnement en ouvrant directement l'application. L'absence de résultat ne garantit pas que l'adresse n'a figuré dans aucun autre incident. Une surveillance continue, des mots de passe uniques, une authentification forte et la vérification des applications connectées offrent une protection efficace si les anciennes données sont réutilisées des années plus tard.