Fuite de données de Kaneva en 2016

Le descriptif externe actuellement vérifié indique que 3,9 millions de fiches d’utilisateurs du service Kaneva, aujourd’hui disparu, ont été exposées et contenaient des adresses e-mail, des noms d’utilisateur, des dates de naissance et des empreintes MD5 salées de mots de passe. La description structurée de son périmètre répertorie les mêmes quatre catégories. Aucun avis public de l’exploitant ni document d’une autorité de régulation n’a été trouvé, pas plus que des informations sur la méthode d’accès initial, l’acteur impliqué, la durée de l’accès ou la date de publication. Le 1er juillet est la date de l’événement indiquée dans la fiche externe; elle n’est pas interprétée comme le moment exact de l’accès au réseau.

Une archive datée du 30 juin 2016 présente Kaneva comme un service associant un réseau social à un monde virtuel 3D gratuit, où les utilisateurs pouvaient construire et explorer des mondes virtuels avec leurs amis. Cette archive étaye l’identité de l’organisation et du service; elle ne constitue pas une notification indépendante de l’incident. Comme kaneva.com redirige désormais vers un site sans rapport avec le service, la fiche publique renvoie plutôt à l’archive datant de la période de l’incident.

Les catégories vérifiées par la source externe sont les dates de naissance, les adresses e-mail, les mots de passe et les noms d’utilisateur. Les mots de passe sont décrits comme des empreintes MD5 salées; l’exposition de mots de passe en clair n’a pas été établie. Un sel réduit l’utilité des tables de correspondance précalculées, mais MD5 est une méthode rapide et peu robuste pour le stockage moderne des mots de passe.

Les noms, numéros de téléphone, adresses postales, pièces d’identité officielles, cartes de paiement, messages privés, contenus d’avatars et activités dans le monde virtuel ne font pas partie des catégories vérifiées. Une correspondance d’adresse e-mail ne prouve pas, à elle seule, qu’une personne détenait un compte Kaneva, que son adresse figurait sur la même ligne qu’une date de naissance, un nom d’utilisateur ou une empreinte donnée, ou qu’elle utilisait le monde virtuel.

La valeur 3 901 179 correspond au nombre d’adresses e-mail uniques dans le jeu de données externe. L’index local contient 3 908 307 associations uniques d’adresses e-mail, soit 7 128 de plus que la mesure externe, tandis que les 3 908 470 lignes valides traitées dépassent de 163 le nombre d’associations uniques locales. Les détails concernant la version du jeu de données, la normalisation et la déduplication n’ayant pas été rapprochés, aucune cause n’est attribuée à ces écarts.

Le traitement local porte uniquement sur des adresses e-mail. Les dates de naissance, noms d’utilisateur et empreintes de mots de passe sont des catégories vérifiées par une source externe, et non des champs stockés localement dans le cadre de cet import en production. Si vous savez, indépendamment de ces données, que vous avez réutilisé un ancien mot de passe Kaneva sur un autre service, vous pouvez y remplacer ce mot de passe par un mot de passe unique et activer l’authentification multifacteur lorsqu’elle est disponible.