Fuite de données chez GoldSilver

La source fait état de noms, d’adresses, de numéros de téléphone et d’achats, ainsi que, dans un petit nombre d’enregistrements, de numéros de passeport, de numéros de sécurité sociale américains et de données partielles de carte bancaire; les données et le code source ont été rendus publics sur un service du dark web. GoldSilver a déclaré avoir directement averti les clients concernés.

Le chiffre de 242 715 ne correspond pas à un décompte de personnes, de comptes, de clients, d’acheteurs, d’abonnés ou de notifications; il mesure le nombre d’adresses e-mail uniques. La précision « petit nombre » doit rester associée aux champs contenant des numéros de passeport, des numéros de sécurité sociale et des données partielles de carte bancaire. Le récit de source publique sur la fuite de données indique que les mots de passe et les réponses aux questions de sécurité étaient hachés avec MD5, tandis que les catégories structurées ne mentionnent que les questions de sécurité et leurs réponses; la présence de mots de passe et leur représentation exacte restent à déterminer.

Les numéros de compte bancaire et les adresses IP figurent dans les catégories structurées, mais ne sont pas explicités dans le récit; leur représentation et leur fréquence doivent donc être vérifiées. Il n’existe pas de jeu de données local au niveau individuel. Cette fiche ne permet d’établir ni l’identité, ni le statut de client ou d’abonné, ni les achats ou la détention de métaux précieux, ni l’intérêt pour l’investissement ou le niveau de richesse, ni le fait d’être titulaire d’un compte bancaire, d’une carte, d’un passeport ou d’un numéro de sécurité sociale, ni la présence conjointe de champs, ni une compromission ou une utilisation abusive.

Les liens entre les personnes et des comptes bancaires, des cartes, des passeports, des numéros de sécurité sociale, des adresses, des achats ou des réponses aux questions de sécurité, ainsi que leur statut de client ou d’abonné, doivent rester confidentiels. Seuls les destinataires d’une notification directe ou les personnes dont des identifiants sensibles figurent dans une ligne de données authentifiée devraient suivre les consignes de la notification de l’entreprise et appliquer les mesures pertinentes de protection financière ou de protection de l’identité.