Fuite de données chez Havenly

BleepingComputer a indiqué avoir vu, dans un échantillon, des identifiants de connexion, des noms complets, des adresses e-mail, des numéros de téléphone, des codes postaux, des données d’utilisation du site et des mots de passe hachés avec MD5. Havenly a été contactée le 27 juillet 2020 et, cinq jours plus tard, a déconnecté ses clients, imposé la réinitialisation des mots de passe et envoyé des notifications. L’entreprise a déclaré ne pas stocker de numéros de carte complets, bien que les quatre derniers chiffres aient pu figurer dans certains enregistrements.

Source publique sur la fuite de données fait quant à lui état de 1 369 180 adresses e-mail uniques dans une entrée de catalogue datée du 25 juin, avec une liste de champs plus restreinte comprenant des empreintes de mots de passe SHA-1. Les affirmations concernant MD5 et SHA-1 se contredisent; aucun algorithme ne doit être considéré comme confirmé tant que les colonnes de mots de passe dans les données brutes n’ont pas été authentifiées. Le chiffre de 1 369 180 correspond à un décompte d’adresses e-mail uniques, et non de personnes ou de lignes brutes, et rien ne prouve que le 25 juin soit la date exacte de l’attaque.

L’importation locale en deux parties a traité 1 362 325 lignes d’adresses e-mail et produit 1 362 324 associations uniques d’adresses e-mail dans l’index actif, soit 6 856 de moins que le décompte de source publique sur la fuite de données. Les mots de passe, les identifiants de connexion, les numéros de téléphone, les données de localisation, les données d’utilisation et les fragments de données de carte ne peuvent pas faire l’objet d’une recherche locale. L’absence de fichiers sources et l’écart d’une ligne entre le traitement et l’index restent à résoudre.

Un résultat privé permet uniquement d’établir que l’adresse e-mail dont vous avez le contrôle figure dans le sous-ensemble local d’adresses e-mail attribué à Havenly. Il ne permet pas d’établir une identité, la titularité d’un compte ou la qualité de client, un intérêt pour un service de design ou un achat, des détails sur un logement ou un lieu, un mot de passe, la présence de plusieurs champs dans un même enregistrement, une compromission ou une utilisation abusive. La réinitialisation imposée par Havenly devrait avoir invalidé le mot de passe utilisé sur Havenly; seules les personnes ayant réutilisé ailleurs un ancien mot de passe récupéré devraient le remplacer sur ces autres services.