Fuite de données de JD.com en 2013

La fiche vérifiée fait état de quatre catégories structurées dans 13 Go de données : adresses e-mail, noms d’utilisateur, numéros de téléphone et hachages SHA-1 de mots de passe. Une valeur SHA-1 n’est pas un mot de passe en clair, mais ce hachage est peu sûr au regard des normes actuelles de stockage des mots de passe, et les mots de passe courts ou réutilisés restent susceptibles d’être devinés hors ligne.

Les articles de 2016 décrivaient également un ensemble de champs plus large, comprenant notamment des comptes QQ et des numéros d’identification, dans un lot d’environ 12 Go qui circulait alors. Comme ni la taille de ce lot ni les champs qu’il contenait ne sont établis comme identiques à ceux du jeu de données externe vérifié, ces informations supplémentaires rapportées ne sont pas intégrées aux quatre catégories structurées. Les cartes de paiement, l’historique des commandes et les comptes bancaires ne font pas non plus partie du périmètre structuré actuel.

Les sources ne précisant pas le jour exact de la fuite, la date du 1er janvier 2013 renseignée dans le champ correspondant sert uniquement à indiquer l’année; elle ne permet pas d’établir que l’incident s’est produit le 1er janvier. Décembre 2016 correspond à la période de la déclaration de l’entreprise et des articles sur le lot de données proposé à la vente, et non à la date d’une autre fuite.

Le chiffre de 77 449 341 représente les adresses e-mail uniques du jeu de données externe vérifié. Il ne correspond ni au nombre de comptes, ni au nombre de personnes, ni au nombre total de lignes des fichiers sources. L’environnement de production ne dispose d’aucune tâche d’importation JD ni d’aucun jeu de données indexé localement contenant des adresses e-mail, des mots de passe, des numéros de téléphone ou des noms d’utilisateur; ce chiffre n’est donc pas présenté comme un total local.

La fiche vérifiée consacrée à la fuite fournit le nombre exact d’adresses e-mail, les quatre champs et la précision relative à SHA-1. L’article de TechNode du 12 décembre 2016 renvoie à l’annonce officielle de l’entreprise sur WeChat et rapporte que JD a confirmé l’incident de 2013. Une autre page secondaire, vers laquelle la fiche vérifiée renvoyait auparavant, retourne désormais une erreur 404 et n’est donc pas utilisée comme source publique.

Si vous avez réutilisé sur un autre service un mot de passe utilisé sur JD.com en 2013, remplacez-le sur cet autre service par un mot de passe unique et activez l’authentification multifacteur lorsqu’elle est disponible. Plutôt que de suivre les liens contenus dans des messages inattendus concernant une livraison, un remboursement, une promotion ou une réinitialisation de mot de passe, accédez directement à l’adresse de JD.

Une correspondance sur une adresse e-mail ne prouve pas qu’un mot de passe était en clair, qu’un compte a été détourné ou que des données de paiement et de commande ont été exposées. Le périmètre vérifié de cette fiche se limite aux champs d’adresse e-mail, de nom d’utilisateur, de numéro de téléphone et de hachage SHA-1 de mot de passe présents dans le jeu de données externe.