Fuite de données de James Delivery en 2020

La fiche externe vérifiée fait état d’adresses e-mail, d’informations générales de localisation géographique, de paires latitude-longitude et de hachages de mots de passe bcrypt. La présence de champs de localisation ne prouve pas qu’ils correspondent à des domiciles, des lieux de travail, des points de livraison ou un historique de commandes. La précision des coordonnées ne signifie pas non plus que chaque ligne comportait une localisation ni que celle-ci était à jour.

Les noms, numéros de téléphone, adresses postales complètes, cartes de paiement, comptes bancaires, contenus des commandes et informations sur les appareils ne font pas partie des types de données confirmés pour cet incident. Un hachage bcrypt n’est pas un mot de passe en clair, même si les mots de passe faibles ou réutilisés restent susceptibles de faire l’objet d’attaques hors ligne par essais de mots de passe.

Le chiffre de 1 541 284 correspond aux adresses e-mail uniques présentes dans le jeu de données externe vérifié. Le chiffre d’environ 1,6 million est le nombre arrondi d’enregistrements indiqué pour l’annonce de vente publiée à l’époque; il n’était pas défini comme un nombre de personnes, de comptes ou d’adresses e-mail uniques. Ces chiffres ne s’additionnent pas et ne doivent pas être utilisés indifféremment.

Une vérification en production n’a trouvé aucune tâche d’importation James ni aucune donnée liée localement dans les collections d’adresses e-mail, de mots de passe, de localisation ou d’autres données individuelles. Le nombre exact d’adresses e-mail provenant de la source externe est donc présenté uniquement avec son unité de mesure, sans laisser entendre qu’il s’agit d’un total local ou d’un nombre d’enregistrements importés.

La fiche vérifiée sur la fuite fournit le nombre exact d’adresses e-mail, la date de l’incident, les quatre types de données et la précision concernant bcrypt. L’article indépendant daté du 29 juin 2020 fournit le nom JamesDelivery figurant dans l’annonce de vente, le chiffre d’environ 1,6 million d’enregistrements et l’observation selon laquelle les échantillons examinés semblaient authentiques; ce même article précise explicitement que les entreprises n’avaient pas directement confirmé les incidents et que James n’avait pas répondu.

Un ancien article de sécurité constituant une source secondaire, vers lequel pointe l’index, renvoie désormais une erreur 404. Une capture Wayback du 28 novembre 2020 montre qu’il résumait le même article consacré à l’annonce de vente; il n’a donc pas été retenu comme confirmation distincte. jamesdelivery.com.br est actuellement accessible, et une archive datant de la période de l’incident étaye l’identité du service, mais l’existence du site de l’entreprise ne constitue pas une preuve de la fuite.

L’association d’une adresse e-mail à des données de localisation et à un hachage de mot de passe peut faciliter l’hameçonnage ciblé et les tentatives d’accès à d’autres sites au moyen de mots de passe réutilisés. Si un mot de passe utilisé auprès de James pendant cette période a été réutilisé ailleurs, il convient de le remplacer par un mot de passe unique, d’activer l’authentification multifacteur sur le compte de messagerie et d’éviter les liens contenus dans les messages inattendus concernant une livraison ou une réinitialisation de mot de passe.

Une correspondance d’adresse e-mail ne démontre pas que le domicile ou le lieu de travail d’une personne, ses commandes ou ses informations de paiement ont été exposés. Le périmètre confirmé pour cette fiche se limite aux adresses e-mail, aux informations générales de localisation, aux coordonnées et aux champs de hachage bcrypt; il ne faut pas en tirer de conclusions plus larges sur les comportements personnels ou les préjudices subis.