Fuite de données de l’IND du Chili en 2024
La fuite de données de 2024 de l’Instituto Nacional de Deportes de Chile concerne un jeu de données attribué à l’Institut national des sports du Chili.
Types de données exposées
6- Dates de naissance
- Adresses e-mail
- Genres
- Noms
- Mots de passe
- Noms d’utilisateur
À propos de cette fuite de données
Un index vérifié des violations de données date l’événement du 12 septembre 2024 et fait état de 319 613 adresses e-mail uniques dans environ 1,7 million de lignes. Les lignes les plus récentes dateraient d’août 2022. La date de 2024 est donc considérée comme la période où ce jeu de données, potentiellement plus ancien, a été rendu public, et non comme une date avérée de collecte ou d’accès au système.
Les types de données attestés sont les noms, les noms d’utilisateur, les adresses e-mail, les dates de naissance, les champs de genre et les hachages de mots de passe bcrypt. Les 1,7 million de lignes et les 319 613 adresses e-mail uniques sont deux mesures distinctes qui ne doivent pas être additionnées. L’environnement de production ne dispose d’aucune tâche d’importation locale ni d’aucun jeu de données consultable au niveau individuel lié à cet événement. Un hachage bcrypt n’est pas un mot de passe en clair, même si un mot de passe ancien, faible ou réutilisé peut toujours présenter un risque.
Éléments de preuve et limites en matière de vie privée
L’examen manuel n’a trouvé aucun avis de l’organisme, aucun document d’une autorité de régulation ni aucun rapport technique indépendant fiable concernant cet événement. Le lien vers l’article fourni dans l’index des violations de données redirige désormais vers un site sans rapport avec l’événement. Les affirmations figurant dans sa copie archivée au sujet de l’auteur de l’attaque, des victimes nommément désignées et de la méthode d’attaque n’ont pas été corroborées de manière indépendante et n’ont pas été retenues. Le jeu de données authentifié étaye l’attribution et la liste des champs, mais ne permet pas d’établir la méthode d’accès initial, la date d’acquisition ou la réponse de l’organisme.
Une correspondance d’adresse e-mail ne prouve pas qu’une personne est un athlète, un entraîneur, un parent, un enfant, un représentant de club ou un participant à un programme public. Une date de naissance ou un champ de genre figurant dans les données ne doit pas être considéré comme actuel ou exact, comme une preuve de l’identité légale du titulaire de l’adresse e-mail, ni comme nécessairement présent avec tous les autres champs. Les sources ne font état d’aucun numéro d’identification national, d’aucune adresse postale, d’aucun numéro de téléphone, d’aucune information de paiement, d’aucune donnée de santé ni d’aucune performance sportive.
Mesures à prendre en toute sécurité
Si vous savez, indépendamment de ces données, quel mot de passe a été utilisé pour ce compte et que vous utilisez encore ce mot de passe ou un mot de passe similaire sur un autre compte actif, vous devriez modifier uniquement ce mot de passe réutilisé et activer l’authentification multifacteur sur le compte de messagerie associé. Tout message inattendu faisant référence à l’institution, à une inscription ou à un programme devrait être vérifié par un canal officiel connu. Une simple correspondance ne permet pas de déduire l’âge, le genre, l’activité sportive ou un lien avec un service public.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
