Fuite de données JobStreet de 2012

Le 19 octobre 2017, Lowyat.NET a indiqué avoir examiné plusieurs jeux de données malaisiens proposés à la vente sur son forum. Selon cet article, le fichier attribué à JobStreet contenait près de 17 millions de lignes et présentait des noms de candidats, des identifiants de connexion, des empreintes de mots de passe, des adresses e-mail, des nationalités, des adresses et des numéros de téléphone mobile. Les données semblaient dater de 2012 à 2013 et concernaient aussi des personnes vivant hors de Malaisie. Comme le précisait le titre de l’article, l’origine des données était alors inconnue.

Un répertoire vérifié des fuites de données a ensuite authentifié le jeu de données attribué à JobStreet, en y recensant 3 883 455 adresses e-mail uniques et 12 catégories de données structurées. Il a également indiqué que les données étaient par la suite devenues téléchargeables via Tor. Cette vérification du jeu de données ne signifie pas que JobStreet a publiquement confirmé l’incident, ni que l’accès au réseau a eu lieu précisément le 7 mars. Cette date doit être comprise comme une date d’événement déduite des enregistrements.

Les catégories vérifiées sont les dates de naissance, les adresses e-mail, les genres, les localisations géographiques, les numéros d’identification délivrés par les autorités, les situations matrimoniales, les noms, les nationalités, les mots de passe, les numéros de téléphone, les adresses physiques et les noms d’utilisateur. Il ne faut pas supposer qu’un champ donné est présent dans chaque enregistrement d’adresse e-mail. En particulier, le chiffre de près de 17 millions indiqué pour le fichier source ne correspond pas à un nombre de personnes uniques ou d’adresses e-mail uniques.

Les fichiers de CV, les textes de candidature, les parcours professionnels, les salaires, les comptes bancaires et les cartes de paiement ne figurent pas parmi les catégories structurées actuelles. Bien que cette fiche concerne des données de personnes à la recherche d’un emploi, une correspondance d’adresse e-mail ne prouve ni la profession d’une personne, ni sa situation de chômage, ni le statut de sa candidature, ni sa nationalité, ni sa situation matrimoniale. Elle ne prouve pas non plus que les autres champs figuraient ensemble sur une même ligne.

Le chiffre de 3 883 455 correspond au nombre d’adresses e-mail uniques du jeu de données externe vérifié. Le chiffre de près de 17 millions correspond au nombre de lignes indiqué pour le fichier source examiné en 2017. Le chiffre local de 3 879 157 correspond au nombre d’associations uniques d’adresses e-mail actuellement indexées après l’importation d’une seule colonne d’adresses e-mail, soit 4 298 de moins que le décompte externe. Ces trois valeurs ne sont pas cumulées.

Le traitement local porte uniquement sur des adresses e-mail. Les champs relatifs aux mots de passe, à l’identité, aux numéros de téléphone, aux adresses et aux données démographiques, vérifiés dans le jeu de données externe, ne sont pas stockés localement dans le cadre de cette importation de production.

Si vous avez réutilisé ailleurs un mot de passe utilisé en 2012, vous pouvez le remplacer par un mot de passe propre à chaque compte concerné. Ne faites pas confiance à un message de recrutement au seul motif qu’il mentionne une ancienne candidature, un numéro de téléphone, une adresse ou une information relative à votre identité; vérifiez l’employeur ou JobStreet par un autre canal officiel. Ne transmettez pas de documents d’identité, de mots de passe ou de codes à usage unique par l’intermédiaire d’un lien suspect.