Fuite de données de Jefit en 2020

Jefit indique avoir découvert un incident touchant les données, causé par une faille de sécurité, après avoir reçu plusieurs signalements d’utilisateurs. L’entreprise affirme avoir sécurisé ses serveurs et les comptes concernés, corrigé la faille, mené une analyse forensique et contacté les forces de l’ordre. Selon son communiqué, les comptes créés avant le 20 septembre 2020 pourraient avoir été touchés.

Le communiqué de l’entreprise ne précise ni le jour exact de l’accès initial, ni l’auteur de l’incident, ni la période d’acquisition des données. Le 11 août est donc retenu comme la date indiquée dans la fiche externe vérifiée, et non comme une date exacte d’accès divulguée par l’entreprise. Le 19 mars 2021 est la date du communiqué public, et non celle d’une autre fuite.

Le communiqué de l’entreprise énumère le nom d’utilisateur du compte, l’adresse e-mail associée au compte, le mot de passe haché avec un sel propre à chaque compte et l’adresse IP enregistrée lors de la création du compte. Il précise aussi que certains comptes n’avaient pas d’adresse IP. Les paiements étant traités par des boutiques ou des prestataires de paiement tiers, Jefit affirme ne pas avoir stocké les informations de paiement de ses clients et indique qu’aucune donnée financière n’était concernée.

La fiche externe vérifiée rapporte que les mots de passe se présentaient sous forme de hachages vBulletin ou Argon2 et que plusieurs millions de mots de passe récupérés par cassage des hachages ont ensuite circulé. Ce détail technique provient de l’analyse du jeu de données externe; il ne signifie pas que l’entreprise a déclaré que tous les comptes utilisaient le même algorithme ou que tous leurs mots de passe avaient été récupérés par cassage. Les dossiers de santé, l’historique des entraînements, les messages privés, les cartes de paiement et les comptes bancaires ne figurent pas parmi les catégories de données dont l’exposition est confirmée.

La valeur de 9 052 457 correspond au nombre d’adresses e-mail uniques dans le jeu de données externe vérifié. En production, le traitement à une seule colonne a porté sur 9 034 605 lignes d’adresses e-mail et a créé 9 033 145 associations uniques d’adresses e-mail. Le fichier local a été normalisé à partir de la colonne des adresses e-mail de la structure source Jefit; les mots de passe, les noms d’utilisateur et les adresses IP n’ont pas été importés.

Le nombre local d’adresses e-mail uniques est inférieur de 19 312 au décompte externe. Comme les sources ne permettent pas de concilier les écarts de version des jeux de données, de normalisation et de déduplication, ces chiffres ne sont pas combinés. Une correspondance locale confirme uniquement la présence de l’adresse e-mail; elle ne prouve pas qu’un mot de passe, un nom d’utilisateur ou une adresse IP était présent pour la même personne.

Si vous avez utilisé le même mot de passe pour Jefit en 2020 et pour un autre service, remplacez-le sur cet autre service par un mot de passe unique et activez l’authentification multifacteur lorsqu’elle est disponible. Dans son communiqué, l’entreprise encourage aussi les utilisateurs existants à remplacer leur mot de passe Jefit par une combinaison plus robuste.

Plutôt que de suivre des liens dans des messages inattendus concernant un abonnement, un programme d’entraînement, l’association d’un appareil ou la réinitialisation d’un mot de passe, accédez directement à l’adresse de Jefit ou ouvrez son application. Une correspondance d’adresse e-mail ne permet pas d’établir l’exposition de données financières, de santé ou d’entraînement; le périmètre confirmé se limite à l’adresse e-mail, au nom d’utilisateur, à l’adresse IP enregistrée lors de la création du compte et au hachage du mot de passe.