Fuite de données chez Bukalapak

Le jeu de données vérifié contenait des adresses e-mail, des noms d’utilisateur, des adresses IP, des noms et des empreintes de mots de passe protégées par bcrypt et SHA-512 avec salage. Rien ne prouve que des mots de passe en clair aient été diffusés, mais un hachage robuste n’élimine pas le risque lié aux mots de passe faibles ou réutilisés. Des annonces publiées sur des forums mentionnaient également des champs tels que les adresses postales, les dates de naissance ou les numéros de téléphone. Ces champs ne sont toutefois pas inclus, car leur présence dans les catégories de données de référence n’a pas été suffisamment établie. Le chiffre de 13 369 666 correspond au nombre d’adresses e-mail uniques; il ne représente ni le nombre total de lignes, ni l’ensemble des utilisateurs de Bukalapak, ni le nombre de personnes concernées par chacun des champs.

Cette fiche concerne des données issues de sauvegardes de Bukalapak allant jusqu’au 23 octobre 2017. L’incident a été découvert en mars 2019 et recensé dans des catalogues publics de fuites de données en avril 2019. La méthode d’accès initial, la faiblesse exploitée et le système exact d’où la sauvegarde a été extraite n’ont pas été confirmés. Aucun scénario d’attaque détaillé n’est donc présenté comme un fait établi. En mai 2020, la réapparition d’environ 13 millions d’enregistrements de Bukalapak a été interprétée comme un nouvel incident. L’entreprise a déclaré que, selon les conclusions de son enquête, les signalements qui circulaient provenaient de la tentative de l’année précédente et qu’aucune nouvelle fuite n’avait eu lieu. Un jeu de données distinct de 91 millions d’enregistrements, signalé à peu près à la même période, appartenait à une autre plateforme indonésienne de commerce en ligne et ne doit pas être ajouté au total de Bukalapak.

Le risque le plus élevé concerne les personnes qui possédaient un compte Bukalapak avant la fin de 2017 et qui réutilisaient le même mot de passe sur d’autres services. Une personne ayant fermé son compte ou cessé de l’utiliser il y a des années peut encore être exposée, car une adresse e-mail, un nom d’utilisateur et une empreinte de mot de passe peuvent continuer à circuler sans changer. Les mots de passe courts, prévisibles ou fondés sur des mots du dictionnaire résistent moins bien aux tentatives de cassage de mots de passe hors ligne, même lorsqu’ils sont protégés par bcrypt ou SHA-512 avec salage. Le risque augmente si le même mot de passe protégeait le compte de messagerie, car l’accès à ce compte peut donner accès aux liens de réinitialisation des mots de passe de nombreux services. Les enregistrements contenant un nom et une adresse IP sont plus utiles pour des tentatives d’hameçonnage ciblées faisant référence à un lieu ou à des achats passés. Une correspondance ne signifie pas que des données de cartes de paiement, de comptes bancaires ou de pièces d’identité ont été exposées; ces champs ne figurent pas parmi les catégories de données vérifiées.

Si vous vous souvenez du mot de passe utilisé pour Bukalapak en 2017, repérez tous les comptes qui utilisent encore ce mot de passe ou un mot de passe similaire. En commençant par vos comptes de messagerie, bancaires, de commerce en ligne et de réseaux sociaux, créez un mot de passe unique et long pour chaque service; un gestionnaire de mots de passe de confiance facilite l’élimination des mots de passe réutilisés. Activez la vérification en deux étapes sur Bukalapak et sur votre compte de messagerie, puis examinez les sessions actives et les appareils connectés. Vérifiez si l’adresse e-mail de récupération, le numéro de téléphone ou les règles de transfert des e-mails ont subi des modifications que vous ne reconnaissez pas. Ne répondez pas à un message qui invoque une commande Bukalapak, un remboursement, un paiement à un vendeur ou une indemnisation liée à la fuite de données pour vous demander un mot de passe, un code à usage unique ou un paiement. Ouvrez l’application ou saisissez vous-même l’adresse officielle au lieu de suivre le lien fourni. Si vous recevez une alerte d’échec de connexion, une demande de réinitialisation de mot de passe inattendue ou une notification de nouvel appareil, changez immédiatement le mot de passe concerné et fermez les autres sessions. Conservez la date et les informations sur l’expéditeur de toute prise de contact suspecte et signalez-la au fournisseur du service.

D’anciens identifiants récupérés dans des sauvegardes peuvent circuler pendant des années. Les mesures de protection ne doivent donc pas cesser lorsque l’attention portée à l’incident diminue. Utilisez régulièrement les rapports de sécurité de votre gestionnaire de mots de passe pour remplacer les mots de passe réutilisés, faibles ou déjà exposés. Considérez votre compte de messagerie comme le centre de votre identité numérique et protégez-le avec un mot de passe robuste, une vérification en deux étapes et des options de récupération à jour. Si vous utilisez le même nom d’utilisateur sur de nombreuses plateformes, gardez à l’esprit que des attaquants peuvent établir des liens entre ces comptes. Un message relatif à un achat qui indique correctement un nom ou un détail de commande n’est pas automatiquement digne de confiance; vérifiez-le de manière indépendante en consultant l’historique des commandes dans l’application. Avant de fermer un compte inutilisé, supprimez les moyens de paiement enregistrés, les applications connectées et les champs de profil inutiles. Les politiques de conservation des sauvegardes et d’accès à celles-ci doivent bénéficier du même niveau de protection que les systèmes de production. Lorsqu’une nouvelle allégation concernant Bukalapak apparaît, comparez sa date, le nombre de comptes uniques et les champs exposés pour déterminer s’il s’agit d’un nouvel événement ou d’une remise en circulation d’anciennes données.

Effectuez une recherche sur LeakData.io avec l’adresse e-mail utilisée pour Bukalapak vers 2017 afin de vérifier si elle correspond à cette fiche. Une correspondance indique que l’adresse figure dans le jeu de données vérifié; elle ne signifie pas que le nom d’utilisateur, l’adresse IP, le nom et l’empreinte du mot de passe étaient tous complets dans le même enregistrement. L’absence de résultat ne prouve pas qu’aucun compte créé avec une autre adresse n’est présent. Vérifiez donc séparément vos anciennes adresses professionnelles et personnelles. Ne fournissez jamais de mot de passe, d’empreinte de mot de passe, de code à usage unique, d’informations de paiement ou de pièce d’identité en réponse à un résultat de recherche. Si une correspondance apparaît, donnez la priorité à l’élimination des anciens mots de passe réutilisés, à la sécurisation de votre compte de messagerie et à l’activation de la vérification en deux étapes. N’ajoutez pas les annonces de vente de données Bukalapak de 2020 au total en les considérant comme un incident distinct touchant 13 millions de comptes. De même, n’attribuez pas à cette fiche le chiffre de 91 millions d’enregistrements appartenant à une autre plateforme. Bien distinguer les incidents et le périmètre de chaque mesure évite d’exagérer le risque ou de l’attribuer à la mauvaise organisation.