Fuite de données chez Canva

Les catégories de données vérifiées sont les adresses e-mail, les informations de localisation géographique, les noms, les mots de passe et les noms d’utilisateur. Pour les comptes qui n’utilisent pas la connexion via un réseau social, les mots de passe sont associés à des valeurs de hachage bcrypt. Bien que bcrypt soit considéré comme plus résistant que les anciennes méthodes de stockage des mots de passe, plus rapides, le risque demeure pour les mots de passe faibles ou réutilisés sur d’autres services. La combinaison de l’adresse e-mail, du nom d’utilisateur et du nom peut aider les attaquants à relier les comptes d’une même personne sur différentes plateformes. Les informations de localisation peuvent également servir à créer de faux messages d’assistance, à mener des fraudes liées à des campagnes régionales ou à personnaliser des tentatives d’hameçonnage. Cet incident ne doit donc pas être considéré comme un simple problème touchant un compte de création graphique : si la même adresse e-mail ou le même mot de passe est utilisé pour d’autres comptes, le risque de prise de contrôle s’étend à ces comptes.

Dans le cas de Canva, le nombre de comptes vérifiés est de 137 272 116. La date principale à retenir pour la fuite est le 24 mai 2019, la date d’ajout vérifiée est le 9 août 2019 et la dernière mise à jour de la source date également du 9 août 2019. Les champs de données se limitent aux adresses e-mail, aux informations de localisation géographique, aux noms, aux mots de passe et aux noms d’utilisateur. Les fichiers de création graphique, les informations de carte de paiement, les contenus privés des équipes, les pièces d’identité officielles et les données relatives aux contrats d’entreprise ne font pas partie des catégories de données vérifiées pour cette fiche consacrée à la sécurité des comptes. Le partage ultérieur de certaines valeurs de hachage Bcrypt de mots de passe, cassées séparément, constitue un facteur de risque supplémentaire; la donnée principale affichée à l’utilisateur doit toutefois toujours être considérée comme un mot de passe. Ces limites donnent à l’utilisateur une vision réaliste et claire du risque.

Le risque le plus élevé concerne les personnes qui utilisent l’adresse e-mail de leur compte Canva et un mot de passe similaire sur d’autres services. Les designers, les responsables des réseaux sociaux, les enseignants, les étudiants, les équipes marketing et les salariés chargés de gérer les comptes de marque figurent parmi les groupes prioritaires. Si un compte Canva a été créé avec une adresse e-mail professionnelle, les attaquants peuvent associer cette adresse au nom de l’entreprise, au nom d’utilisateur et aux informations de localisation pour envoyer des messages plus convaincants. Si le même nom d’utilisateur apparaît aussi sur des sites de portfolio, des réseaux sociaux ou des outils professionnels, le risque de rapprochement entre les comptes augmente. Les anciens comptes Canva méritent également une attention particulière, car les mots de passe utilisés par le passé peuvent encore être valides sur d’autres services. Pour les utilisateurs ayant accès à des comptes d’équipe, la réutilisation de mots de passe peut mettre en danger non seulement leur compte individuel, mais aussi les ressources de marque partagées.

Si vous êtes concerné, commencez par remplacer le mot de passe de votre compte Canva par un mot de passe fort et unique. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, sur d’autres services, changez en priorité ceux de vos comptes e-mail, de vos profils sur les réseaux sociaux, de vos espaces de stockage dans le cloud, de vos outils de collaboration, de vos comptes publicitaires et des services liés à des moyens de paiement. Choisissez un mot de passe différent pour chaque service à l’aide d’un gestionnaire de mots de passe et activez la vérification en plusieurs étapes lorsque les comptes le permettent. Vérifiez l’adresse avant de cliquer sur les liens de messages qui semblent provenir de Canva ou se présenter comme une notification de l’équipe de création graphique. Examinez attentivement les e-mails proposant de faux partages de modèles, des invitations à accéder à des fichiers de marque, des factures, des invitations à rejoindre une équipe ou des messages annonçant la suspension d’un compte. Dans les équipes d’entreprise, vérifiez également les sessions des comptes administrateurs, les applications connectées et les membres des équipes.

À long terme, les plateformes de création graphique et de contenu doivent être protégées avec autant de soin que les comptes e-mail principaux et les comptes financiers. L’utilisation d’un mot de passe unique pour chaque service limite les dommages causés par une fuite de données isolée. Pour les comptes d’équipe, privilégiez les accès fondés sur les rôles, révoquez les autorisations des salariés ayant quitté l’entreprise et interdisez le partage de mots de passe. Pour les marques d’entreprise, les fichiers de création graphique, les comptes sur les réseaux sociaux et les tableaux de bord publicitaires doivent être considérés comme les maillons d’une même chaîne de sécurité. Examinez régulièrement vos anciens comptes Canva et les comptes d’autres outils de création ouverts avec la même adresse e-mail. L’utilisation de gestionnaires de mots de passe, la vérification en plusieurs étapes, la surveillance des sessions et le suivi des accès des équipes doivent devenir des habitudes durables de sécurité.

Lorsque le résultat Canva apparaît sur LeakData, cela signifie que l’adresse e-mail figure dans le jeu de données des comptes Canva de 2019. Ce résultat ne prouve pas que vos fichiers de création graphique ou vos informations de paiement ont été compromis; il se limite aux champs vérifiés relatifs au profil de risque et à la sécurité des comptes. Vérifiez d’abord votre compte Canva, puis les mots de passe utilisés à la même période et les comptes importants ouverts avec la même adresse e-mail. Examinez en priorité votre compte e-mail, vos comptes sur les réseaux sociaux, vos tableaux de bord de marque, vos espaces de stockage dans le cloud et vos outils de collaboration en équipe. La période principale de l’incident est mai 2019, et la date d’ajout vérifiée se situe en août 2019. Cette chronologie évite que l’écran « Sécurité des comptes » ne signale à tort l’incident comme un événement actuel et vous aide à établir le bon ordre de priorité.