Fuite de données Jobzone de 2023

La fiche vérifiée renvoie à une publication de l’époque indiquant que les données ont été mises en ligne le 15 avril et faisant état d’environ 30 000 enregistrements sources. Le jeu de données externe structuré a ensuite été authentifié, avec 29 708 adresses e-mail uniques et huit catégories de données. Aucun avis d’incident de Jobzone ni document d’une autorité de régulation n’a été trouvé dans les sources publiques. Celles-ci n’ont pas non plus permis d’établir la méthode d’accès initial, l’acteur impliqué ou la date exacte d’accès au système.

Le 15 avril doit donc être compris comme une date associée à la publication des données dans la fiche, et non comme le jour exact où un attaquant est entré dans un système. Une capture Wayback réalisée à une date proche de l’événement confirme que le domaine correspondait à un guide de recherche d’emploi en hébreu, mais elle ne prouve pas de manière indépendante la fuite ni l’origine du fichier.

Les catégories vérifiées sont les dates de naissance, les adresses e-mail, les noms de membres de la famille, les genres, les numéros d’identification attribués par les autorités, les noms, les numéros de téléphone et les adresses postales. La description externe mentionne précisément les noms des pères et un champ d’identité décrit comme contenant des numéros de sécurité sociale. Il ne faut pas présumer que chaque champ figure dans chaque enregistrement d’adresse e-mail, ni que ces champs concernent tous la même personne.

Les mots de passe, les noms d’utilisateur, les fichiers de CV, les textes de candidature, les parcours professionnels, les salaires, les cartes de paiement et les comptes bancaires ne font pas partie des catégories vérifiées. La présence d’une adresse e-mail dans un jeu de données externe ne prouve pas, à elle seule, l’existence d’un compte Jobzone, une candidature, la citoyenneté israélienne, une situation professionnelle, un lien familial ou un lien avec les autres champs répertoriés.

La base de données de production ne contient aucune tâche d’importation Jobzone ni aucune adresse e-mail, mot de passe, nom d’utilisateur, numéro de téléphone, adresse IP ou autre valeur sensible liée à cette fiche. Le chiffre de 29 708 est donc conservé comme mesure externe, aucun total local n’est affiché et cette fiche ne permet pas d’obtenir un résultat local, positif ou négatif, pour une personne donnée.

Les quelque 30 000 enregistrements sources et les 29 708 adresses e-mail uniques correspondent à des unités différentes et ne sont pas additionnés. L’écart pourrait s’expliquer par des doublons, des lignes sans adresse e-mail ou une normalisation, mais les sources ne fournissent pas assez de détails pour en déterminer la cause.

Si vous savez par ailleurs que vous utilisiez Jobzone à cette époque ou si vous avez reçu une notification directe, vous pouvez vérifier les offres d’emploi inattendues, les demandes de vérification de documents ou les messages de mise à jour de vos informations d’identité par un canal officiel distinct, plutôt que par un lien contenu dans le message. Si la notification que vous avez reçue mentionne un numéro d’identification ou une adresse, vous pouvez surveiller les activités liées au crédit, aux comptes auprès des administrations et à la vérification d’identité. L’exposition de mots de passe n’est pas vérifiée : cet événement ne suffit donc pas, à lui seul, à établir la nécessité de changer un mot de passe.