Jeu de données de CV de 2018 associé à HeadHunter (hh.ru)

Aucune des sources publiques examinées ici ne fournit de date précise pour l’incident, de description complète de la méthode d’attaque ni d’avis de l’opérateur permettant d’identifier cette archive sans ambiguïté. La fiche utilise donc isVerified=false. Le 1er janvier 2018 n’est que la représentation technique d’une date connue à l’année près; cela ne signifie pas qu’un incident s’est produit en janvier. Cette page rend compte à la fois du lien mesurable entre la source scellée et les métadonnées publiques, et des limites de ce lien.

BreachEra répertorie, sur une ligne précise, HeadHunter, le domaine hh.ru, l’année 2018, un volume de 827 198 enregistrements et des catégories de données relatives aux CV, dont les adresses e-mail. Le CSV examiné contient exactement 827 198 enregistrements de données logiques, tandis que son nom de fichier mentionne à la fois 2018 et un volume de 827 199 lignes physiques. Le répertoire LeakedSource affiche 564 875 enregistrements pour le même nom et le même domaine, tandis que NiamonX et 9GHz évoquent environ 827 000 enregistrements. Source publique sur la fuite de données ne comporte aucune entrée correspondant exactement à HeadHunter. Ces volumes contradictoires ne sont pas interprétés comme un nombre unique de personnes concernées; pwnCount reste donc null.

Un article de Vedomosti daté du 4 mai 2018 décrit un litige impliquant HeadHunter au sujet de l’extraction de données de sa base de CV et de l’accès de tiers à ces données. Cet article apporte des éléments de contexte sur l’extraction non autorisée d’informations issues des CV de HeadHunter en 2018, mais il ne prouve ni que cette archive précise était la copie en cause dans le litige, ni qu’elle provenait de l’exploitation d’une vulnérabilité particulière. Par ailleurs, le propre centre d’aide de HeadHunter explique que les coordonnées figurant dans les CV comprennent un nom, un numéro de téléphone, une adresse e-mail et d’autres moyens de communication, et que l’accès aux coordonnées détaillées est un service payant. Ensemble, ces sources étayent l’identification de l’entité, du service et du domaine, ainsi que la signification des champs, sans exagérer le degré de vérification de l’incident.

L’archive examinée, HeadHunter_BF.7z, fait 59 693 254 octets et est scellée par l’empreinte SHA-256 e91452…ca2a. Un test complet d’intégrité 7z réussit. L’archive contient un fichier CSV de données de 501 590 148 octets et un fichier de métadonnées génériques de publication de 441 octets. Le CSV a pour empreinte SHA-256 b4c951…3150, utilise UTF-8 avec une marque d’ordre des octets, la virgule comme séparateur et un en-tête explicite de 41 colonnes. Le fichier de métadonnées génériques ne contient aucun champ d’adresse e-mail au niveau des enregistrements ni aucune arobase; son examen est clôturé avec le statut NO_EMAIL_FIELD.

L’en-tête explicite Email correspond au champ d’indice 6 dans une numérotation commençant à zéro, et c’est le seul champ autorisé pour l’importation. Les champs de téléphone, téléphone secondaire, Skype, nom, pays, adresse, région, ville, genre, date de naissance, formation, parcours professionnel, salaire, profession, préférences professionnelles, texte libre et URL sont exclus. Les 41 champs ont néanmoins été analysés pour repérer les cellules dont la valeur entière a la forme d’une adresse e-mail. On compte 279 valeurs de ce type hors de la colonne sélectionnée, principalement dans les champs Skype et nom. Aucune n’est utilisée pour élargir la couverture ou rapprocher le résultat d’un nombre indiqué dans un catalogue, car ces colonnes ne sont pas reconnues comme des champs d’adresses e-mail.

Sur 827 198 enregistrements de données, 591 700 ont une valeur non vide dans la colonne d’adresse e-mail. La règle actuelle canonical-ascii-email-v1 accepte 590 343 occurrences, rejette 1 357 valeurs non vides et exclut 235 498 cellules vides. La conversion en minuscules, la suppression des espaces en début et en fin de valeur et la déduplication globale produisent 564 552 adresses e-mail canoniques uniques. Le fichier privé final fait 11 595 144 octets et a pour empreinte SHA-256 d560fc…a916, identique dans deux sorties produites séparément. Ce nombre ne correspond pas à un nombre de personnes : une personne peut utiliser plusieurs adresses, et une adresse peut être partagée.

Trois implémentations corroborent le résultat. Un extracteur compilé utilisant le lecteur CSV standard de Go, un validateur compilé séparément utilisant une machine à états RFC 4180 personnalisée qui opère au niveau des octets, et le lecteur CSV strict de Python concordent sur les 827 198 enregistrements, la sélection du champ 6, les 590 343 occurrences acceptées, les 1 357 valeurs non vides rejetées, les 235 498 cellules vides et les 564 552 adresses canoniques uniques. Les outils compilés concordent également sur le flux d’occurrences de 12 102 121 octets et sur chaque agrégat du profil des 41 champs. Mapping-admission v3 est validé avec une couverture de la source COMPLETE, aucun fichier dont l’examen est différé et l’exclusion explicite des 279 valeurs en forme d’adresse e-mail situées hors du champ autorisé.

Une comparaison en temps réel des rattachements dans Mongo trouve 410 683 adresses canoniques déjà présentes dans les enregistrements d’autres incidents et 153 869 adresses absentes de l’index global des adresses e-mail. Les recoupements se répartissent sur 703 identifiants de violations de données; les plus importants concernent de grandes compilations d’identifiants de connexion et de vastes jeux de données russes. Aucune violation de données existante ne représente à elle seule l’ensemble HeadHunter, et aucune tâche antérieure n’est liée au nom HeadHunter, au domaine, au slug, à la clé de source, à l’empreinte de l’archive ou à l’empreinte canonique. Le jeu de données n’est donc pas considéré comme ayant déjà été importé sous une autre identité. Les recoupements ordinaires entre violations de données ne sont pas non plus pris pour une preuve qu’une personne a utilisé HeadHunter.

LeakData est prêt à traiter uniquement les associations vérifiées d’adresses e-mail. Il n’importe pas les noms, numéros de téléphone, adresses, dates de naissance, parcours professionnels, salaires, formations ni contenus de CV en texte libre provenant de cette source. L’examen complet de l’archive ne signifie pas que celle-ci constitue une copie complète des données liées à l’événement historique. Une correspondance ne prouve ni qu’un compte était actif en 2018, ni que tous les champs de la source sont à jour, ni que le titulaire de l’adresse a fourni l’enregistrement. Soyez vigilants face à l’hameçonnage ciblé lié au recrutement, aux messages citant d’anciens détails de CV et aux fraudes à la récupération de compte. Utilisez des mots de passe uniques et l’authentification multifacteur partout où elle est disponible.