Fuite de données JoomlArt de 2018

Selon la fiche externe vérifiée, les données exposées concernaient des clients d’iJoomla et de JomSocial. Après avoir été contactée, JoomlArt a déclaré avoir connaissance de l’incident et avoir déjà informé les parties touchées. Aucun avis public de l’entreprise concernant l’incident n’ayant été trouvé, cette fiche présente les informations d’une source externe vérifiée qui relaie la réponse de l’entreprise, sans en faire un rapport détaillé émanant de celle-ci.

La publication officielle de JoomlArt du 4 mai 2017 annonçant l’acquisition confirme de manière indépendante qu’iJoomla et JomSocial ont rejoint l’entreprise. Cette publication atteste le lien entre les services et l’entreprise; elle ne permet pas, à elle seule, d’établir l’exposition de janvier 2018, sa durée exacte ni le chiffre de 22 477. Le mode d’accès initial, la durée pendant laquelle le ticket Jira est resté visible et l’étendue des accès non autorisés n’ont pas été précisés dans les sources publiques.

Les catégories de données vérifiées sont les adresses e-mail, les noms, les mots de passe, les historiques d’achats et les noms d’utilisateur. Le récit de la source externe indique que les mots de passe étaient stockés sous forme de hachages MD5; l’utilisation d’un sel et l’exposition de mots de passe en clair n’ont pas été établies. L’historique d’achats renseigne sur un lien avec un produit ou une transaction et ne doit pas être interprété comme incluant des données de cartes de paiement ou de comptes bancaires.

Les numéros de téléphone, les adresses postales, les adresses IP, les informations de facturation complètes, les cartes de paiement et les comptes bancaires ne font pas partie des catégories vérifiées. Le chiffre de 22 477 adresses e-mail uniques ne représente pas un nombre de clients, de comptes, d’achats ou de lignes dans les données sources. Il ne faut pas supposer que tous les champs figuraient ensemble dans un même enregistrement.

La base de données de production ne contient aucune tâche d’importation JoomlArt ni aucune adresse e-mail, aucun mot de passe, aucun nom d’utilisateur ou autre donnée sensible associés. Le nombre indiqué par la source externe n’est donc pas affiché comme un total local, et cette fiche ne permet pas de produire un résultat positif ou négatif pour une personne donnée.

Si vous savez, indépendamment de cette fiche, que vous avez utilisé iJoomla, JomSocial ou JoomlArt, vous pouvez remplacer un mot de passe datant de la période de 2018 et réutilisé ailleurs par un mot de passe unique sur les services concernés. Pour vérifier les messages inattendus concernant une licence, l’assistance ou la mise à jour d’une extension, ouvrez le site officiel que vous connaissez plutôt que de suivre un lien. Cet incident ne prouve pas, à lui seul, qu’une personne a acheté un produit particulier ou administré un site web.