i-Dressup Fuite de données

Le récit de source publique sur la fuite de données situe l’événement en juin 2016, tandis que son catalogue structuré indique la date du 15 juillet 2016. Ars Technica a rapporté en septembre 2016 que, selon l’attaquant, le téléchargement avait pris environ trois semaines, et la FTC indique que les exploitants ont appris l’existence de cet accès en septembre. Le 15 juillet n’est donc pas une date exacte confirmée pour l’intrusion, la découverte, l’extraction ou la publication.

Source publique sur la fuite de données indique avoir vérifié l’authenticité de 2 191 565 adresses e-mail uniques, les catégories de données étant les adresses e-mail et les mots de passe en clair. Ars a relayé les affirmations de l’attaquant selon lesquelles il avait téléchargé plus de 2,2 millions d’enregistrements associant une adresse e-mail et un mot de passe, et la faille pouvait exposer plus de 5,5 millions d’entrées de la base de données; le chiffre de 5,5 millions n’est pas un total vérifié de données exposées. La FTC indique que des informations concernant environ 2,1 millions d’utilisateurs ont fait l’objet d’un accès et qu’environ 245 000 utilisateurs avaient déclaré avoir moins de 13 ans. Ce constat global ne permet pas d’établir qu’une adresse e-mail donnée appartenait à un enfant.

Le sous-ensemble accessible via la recherche locale contient 2 188 620 documents contenant une adresse e-mail; les mots de passe et les autres champs n’ont pas été importés dans la recherche locale. Un résultat permet uniquement d’établir que l’adresse e-mail recherchée figure dans ce sous-ensemble local attribué à i-Dressup. Il ne permet pas d’établir l’identité, l’appartenance au service, l’âge, le statut d’enfant ou de parent, la présence ou la réutilisation d’un mot de passe, la présence conjointe de champs ni une utilisation abusive. Un résultat négatif ne porte que sur le sous-ensemble local d’adresses e-mail. Seule une personne qui connaît l’ancien mot de passe i-Dressup sans se fonder sur le résultat de recherche et confirme qu’il a été réutilisé ailleurs devrait remplacer ce mot de passe.