Fuite de données de Jobandtalent en 2018

Un article de ZDNet daté du 17 février 2019 indiquait qu’un acteur proposait à la vente, sur une place de marché du dark web, des bases de données attribuées à huit entreprises. Le tableau des annonces mentionnait, pour Jobandtalent, environ 11 millions de lignes, la date de février 2018 et des champs décrits comme un ID, une adresse e-mail, une empreinte SHA-1 du mot de passe, le sel du mot de passe, un prénom, un nom de famille et l’adresse IP actuelle. L’article précisait qu’aucune des huit entreprises n’avait auparavant révélé de fuite et que des demandes de commentaires leur avaient été adressées.

Le jeu de données externe, ajouté par la suite à un index de fuites vérifiées, étaye le nombre exact d’adresses e-mail uniques et quatre catégories structurées de données. Cette vérification ne signifie pas que l’entreprise a confirmé le récit de l’attaque, l’identité de l’acteur ou la méthode d’accès initial. Le jour exact de l’événement et la méthode d’accès au réseau n’ont pas été divulgués.

Les catégories structurées vérifiées sont les adresses e-mail, les adresses IP, les noms et les mots de passe. Les mots de passe auraient été stockés sous forme d’empreintes SHA-1 salées; leur exposition en clair n’a pas été établie. L’ID décrit dans l’annonce de vente n’est pas ajouté comme catégorie structurée distincte, car il n’a pas été confirmé dans la liste des catégories vérifiées.

Les numéros de téléphone, les CV, les candidatures, les parcours professionnels, les documents d’identité délivrés par les autorités, les cartes de paiement et les comptes bancaires ne font pas partie du périmètre vérifié. Une correspondance d’adresse e-mail ne prouve pas qu’un nom, une adresse IP et une empreinte de mot de passe figuraient ensemble pour une même personne, ni que cette personne était en recherche d’emploi, salariée ou utilisatrice actuelle de la plateforme.

La valeur 10 981 207 correspond au nombre d’adresses e-mail uniques dans le jeu de données externe. Le traitement local a traité 10 878 501 lignes d’adresses e-mail; après normalisation et déduplication, il restait 10 876 576 associations d’adresses e-mail. Le nombre d’adresses uniques retenues localement est inférieur de 104 631 à la mesure externe. Les versions des jeux de données et les modalités de déduplication n’ayant pas été rapprochées entre les sources, les valeurs sont présentées séparément.

Le fichier local contient uniquement des adresses e-mail. Les noms, les adresses IP et les empreintes de mots de passe signalés par les sources externes ne font pas partie des champs stockés localement en production. Cette limite ne permet pas de tirer des conclusions sur ces autres champs à partir d’une correspondance locale.

Si vous avez réutilisé sur un autre service un mot de passe utilisé en 2018, vous pouvez le remplacer sur ce service par un mot de passe unique et activer l’authentification multifacteur lorsqu’elle est disponible. Vérifiez tout message inattendu concernant une offre d’emploi, un créneau de travail, la paie ou la vérification de votre compte en passant par l’adresse connue de Jobandtalent ou par un autre canal officiel, sans suivre de lien contenu dans le message.