Imavex: fuite de données de 2021
La fuite de données d’Imavex en 2021 désigne l’incident lors duquel, selon l’entreprise, un attaquant a obtenu un accès privilégié à l’un de ses systèmes le 20 août 2021 et a récupéré une copie d’une base de données de production.
Types de données exposées
9- Adresses e-mail
- Genres
- Noms
- Données partielles de cartes de crédit
- Mots de passe
- Numéros de téléphone
- Adresses physiques
- Achats
- Noms d’utilisateur
À propos de cette fuite de données
L’avis publié par l’entreprise et conservé par la Wayback Machine indique que cette copie a été publiée sur des forums de pirates informatiques. Une fiche vérifiée sur cette fuite fait état de 878 209 adresses e-mail uniques associées à l’incident; il ne s’agit pas d’un décompte de fichiers, de formulaires ou du nombre total de lignes.
L’incident ne concernait pas uniquement les données des comptes Imavex. La fiche vérifiée indique que le jeu de données comprenait également des centaines de milliers de formulaires envoyés et de commandes traitées par l’intermédiaire des clients d’Imavex. Le fait qu’une adresse e-mail corresponde à une entrée ne suffit donc pas, à lui seul, à déterminer le contenu d’un formulaire ou d’une commande en particulier, ni à établir que tous les champs répertoriés concernaient la même personne.
Quelles informations ont pu être concernées ?
Les sources mentionnent des adresses e-mail, des noms, des noms d’utilisateur, des éléments relatifs aux mots de passe, des numéros de téléphone, des adresses physiques, des informations sur le genre, des informations sur les achats et certains contenus de formulaires. Certaines entrées contenaient également les quatre derniers chiffres de la carte et sa date d’expiration. L’avis d’Imavex indique que ses systèmes ne stockaient ni mots de passe en clair ni numéros complets de carte de crédit. Les codes de sécurité des cartes, les comptes bancaires, les numéros de sécurité sociale et les données d’identification officielles ne font pas partie des champs confirmés pour cet incident.
Mesures prises par l’entreprise et précautions à prendre
La fiche vérifiée indique que l’ancien système concerné a été mis hors service en janvier 2024 et que les données clients encore présentes dans ce système ont été supprimées. Cette mesure ne permet pas de récupérer les copies obtenues auparavant. Si un mot de passe utilisé à l’époque a été réutilisé sur un autre service, définissez-y un mot de passe unique et activez l’authentification multifacteur. Les messages inattendus concernant l’assistance, un remboursement ou un paiement et contenant une adresse, un numéro de téléphone, des détails de commande ou des données partielles de carte doivent être vérifiés par un canal officiel connu. Comme l’ancien domaine d’Imavex redirige désormais vers une autre marque, les liens historiques relatifs à l’entreprise et à l’incident pointent vers des copies archivées.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
