Fuite de données chez Gravatar

Le chercheur Carlo Di Dato a révélé le 3 octobre 2020 qu’une route JSON utilisant des identifiants numériques permettait de collecter les profils de manière séquentielle, sans quasiment aucune limitation du débit de requêtes. Gravatar a déclaré que le service « n’avait pas été piraté », que des noms d’utilisateur et des empreintes MD5 servant de références aux adresses e-mail avaient été collectés, et qu’il avait bloqué la collecte en masse.

Les noms et les noms d’utilisateur étaient des champs publics des profils; l’adresse e-mail était représentée par une empreinte MD5. Cette empreinte n’avait pas été chiffrée puis déchiffrée. Le hachage MD5 sans sel étant déterministe, il était possible de calculer les empreintes d’adresses e-mail potentielles ou connues et de les comparer pour retrouver les adresses e-mail d’origine.

Source publique sur la fuite de données fait état d’environ 167 millions de profils collectés et de 113 990 759 adresses e-mail uniques retrouvées, diffusées avec des noms et des noms d’utilisateur. Le chiffre de 113 990 759 ne correspond ni à un nombre de personnes, ni à un nombre d’utilisateurs actifs, ni à un nombre d’adresses nouvellement exposées; 72% des adresses e-mail retrouvées figuraient déjà dans le jeu de données de source publique sur la fuite de données à la suite d’incidents antérieurs. Le 3 octobre est la date de divulgation de la technique, et non une date établie de début de la collecte ayant abouti au jeu de données final.

Il n’existe pas de jeu de données local structuré par personne. Cette fiche ne permet pas d’établir une utilisation actuelle de Gravatar, l’identité du propriétaire d’un profil, la présence conjointe d’un nom et d’un nom d’utilisateur, une compromission de mots de passe ou un usage abusif. Les liens entre une adresse e-mail et un nom ou un pseudonyme, ainsi que les rapprochements entre sites, peuvent lever l’anonymat des personnes participant à des communautés sensibles et doivent rester privés; les utilisateurs devraient examiner uniquement les champs Gravatar encore visibles publiquement.