Fuite de données d’Intimshop en 2022
La fuite de données d’Intimshop de 2022 concerne un jeu de données issu d’une base de données et attribué à des clients d’intimshop.ru.
Le nombre total d’éléments concernés n’est pas confirmé ; la gravité ne peut donc pas être déterminée à partir du seul nombre d’enregistrements.
Types de données exposées
8- Dates de naissance
- Adresses e-mail
- Localisations géographiques
- Solde de points de fidélité
- Noms
- Mots de passe
- Numéros de téléphone
- Dates d’inscription
À propos de cette fuite de données
Un article indépendant publié le 15 septembre 2022, citant DLBI, fournisseur de renseignements sur les fuites de données, indiquait que près de 127 000 lignes avaient été rendues publiques. Selon cet article, les horodatages des profils s’étendaient du 21 juillet 2003 au 13 septembre 2022. Aucun avis de l’exploitant, document émanant d’un régulateur ni fiche authentifiée dans un répertoire de violations de données n’a été trouvé. La méthode d’accès, l’auteur et la date exacte de l’incident restent donc inconnus.
L’article étaye la présence des données suivantes : noms et, pour certains enregistrements, noms de famille ou patronymiques; adresses e-mail; numéros de téléphone; mots de passe hachés; villes; dates de naissance pour certains enregistrements; dates d’inscription et de mise à jour des profils; et soldes de bonus. Il fait état d’environ 84 000 numéros de téléphone uniques. La source indique qu’une méthode de hachage faible aurait permis de retrouver rapidement environ 40 000 mots de passe, sans préciser l’algorithme utilisé. Les adresses IP, les dates de dernière visite, les noms d’utilisateur et le genre mentionnés dans l’ancienne version ne sont pas étayés par cette source plus solide et ont été retirés du périmètre structuré. La présence de données de paiement, du contenu des commandes et d’adresses physiques n’est pas non plus établie.
Article externe et périmètre local des adresses e-mail
La tâche exécutée en production pour intimshop.txt a traité 126 876 lignes contenant uniquement des adresses e-mail et a produit 126 874 associations uniques d’adresses e-mail dans l’index actif. Les quelque 127 000 lignes de la base de données mentionnées dans l’article, les lignes du fichier traitées et les adresses e-mail uniques indexées localement correspondent à des mesures différentes : elles ne sont ni interchangeables ni cumulables. Cette fiche ne comporte aucun champ lié localement relatif aux mots de passe, aux numéros de téléphone, aux noms, aux dates de naissance, à la localisation ou aux profils.
Vie privée et limites des correspondances
Une correspondance d’adresse e-mail indique uniquement que cette adresse figure dans le fichier local d’adresses e-mail attribué à Intimshop. Elle ne permet pas d’établir le nom réel de la personne, son numéro de téléphone, sa date de naissance, ses achats, les produits qu’elle a consultés ou l’exposition de son mot de passe. Le contexte des produits pour adultes étant sensible, une correspondance ne doit pas servir à déduire l’identité ou les habitudes d’achat de la personne, ni à faire pression sur elle.
Domaine et précautions à prendre
Le domaine intimshop.ru est résolu par le DNS, mais les connexions HTTP et HTTPS effectuées depuis le lieu de l’audit ont été réinitialisées. Pour éviter de renvoyer vers une destination inaccessible, cette page utilise une version archivée du 16 septembre 2022 qui confirme l’identité de la boutique à cette date; cela ne démontre pas que le domaine est indisponible dans tous les pays. Si vous savez par ailleurs quel mot de passe vous utilisiez en 2022 et que vous le réutilisez encore sur d’autres services, vous devriez changer uniquement les mots de passe ainsi réutilisés, activer l’authentification multifacteur sur votre compte de messagerie et vérifier les messages inattendus concernant la boutique, une livraison ou un paiement par un canal connu.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
