Fuite de données ixigo de 2019
La fuite de données d’ixigo de 2019 porte sur un jeu de données de comptes attribué à cette plateforme de voyage basée en Inde.
Types de données exposées
10- Jetons d’authentification
- Informations sur les appareils
- Adresses e-mail
- Genres
- Noms
- Mots de passe
- Numéros de téléphone
- Formules de civilité
- Profils sur les réseaux sociaux
- Noms d’utilisateur
À propos de cette fuite de données
La fiche vérifiée de la fuite situe l’incident au 3 janvier 2019 et fait état de 17 204 697 adresses e-mail uniques dans ce jeu de données. Selon l’article de TechCrunch du 14 février 2019, le vendeur proposait environ 18 millions d’enregistrements ixigo dans une annonce distincte de celles concernant les autres organisations dont les données étaient mises en vente. Le nombre de lignes annoncé et le nombre vérifié d’adresses e-mail uniques correspondent à des mesures différentes; ils ne sont ni additionnés ni utilisés l’un à la place de l’autre pour dénombrer des personnes distinctes.
Les champs structurés vérifiés sont les jetons d’authentification, les informations sur les appareils, les adresses e-mail, les genres, les noms, les mots de passe, les numéros de téléphone, les civilités, les profils sur les réseaux sociaux et les noms d’utilisateur. La source indique que les mots de passe étaient stockés sous forme de hachages MD5, et non en clair; elle ne précise pas si un salage était utilisé, et aucun n’est donc supposé. Le type de jeton, le service associé et la validité à la date de l’incident n’ont pas non plus été publiés. Les cartes de paiement, les comptes bancaires, les itinéraires de voyage, le contenu des réservations, les passeports et les identifiants délivrés par les autorités ne font pas partie du périmètre vérifié.
Incident et périmètre des données locales
Le fait que le vendeur ait proposé les données de plusieurs organisations à la vente sur la même période ne démontre pas qu’une même méthode d’accès ait été utilisée. Bien que des articles aient relayé une hypothèse mettant en cause une faille de base de données commune, les éléments publics ne confirment pas le vecteur d’accès initial à ixigo. L’environnement de production ne comporte aucune tâche d’importation ixigo ni aucun jeu de données lié localement contenant des adresses e-mail, des mots de passe, des noms d’utilisateur, des numéros de téléphone ou des données individuelles. La valeur de 17 204 697 est donc conservée comme mesure externe du nombre d’adresses e-mail uniques; totalRecords n’est pas présenté comme un total local, et le nombre d’enregistrements importés est nul.
Vie privée et précautions à prendre
Cette fiche ne prouve pas qu’une personne en particulier ait voyagé, effectué une réservation, qu’un de ses jetons ait été utilisé, qu’un de ses mots de passe ait été récupéré ou qu’elle ait subi une prise de contrôle de son compte. Si un mot de passe utilisé en 2019 est toujours en place sur un autre service, remplacez-le uniquement sur les services où il est réutilisé, en choisissant des mots de passe uniques. Activez l’authentification multifacteur sur votre compte de messagerie et vérifiez les messages concernant une modification de billet, un remboursement ou une vérification de compte par un canal officiel que vous connaissez. Le fait qu’un expéditeur connaisse un nom réel, un numéro de téléphone ou un lien vers un profil ne suffit pas à le rendre digne de confiance.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
