Jeu de données Kayo.moe de 2018

L’exploitant du service a transmis le contenu téléversé à l’exploitant du catalogue externe pour examen, après avoir remarqué qu’il semblait contenir des données personnelles. Selon le compte rendu technique publié, la collection contenait 755 fichiers totalisant 1,8 Go. La plupart des fichiers présentaient un format similaire au format nom d’utilisateur–mot de passe utilisé pour les tentatives automatisées d’accès aux comptes. Ils regroupaient des données issues de différentes violations de données ou d’autres sources et portaient des noms obscurcis qui ne permettaient pas d’en identifier la provenance.

L’analyste a extrait près de 42 millions d’adresses e-mail uniques. Après le chargement complet, environ 93 % des adresses figuraient déjà dans le catalogue, tandis que plus de 91 % des mots de passe de l’échantillon figuraient déjà dans le jeu de données de mots de passe. Ces pourcentages ne correspondent pas à un décompte de nouvelles personnes, de nouvelles violations de données ou d’identifiants valides. Comme il n’a pas été possible d’identifier la chaîne de provenance de chaque source, cette fiche conserve la mention « non vérifié » dans le catalogue externe; cette mention ne signifie pas que la collection n’a jamais été examinée.

Les catégories structurées du catalogue externe sont les adresses e-mail et les mots de passe, et sa description évoque les mots de passe dans le contexte de paires en texte clair. La valeur 41 826 763 mesure le nombre d’adresses e-mail uniques; il ne s’agit ni d’un nombre de comptes vérifiés ni d’un nombre de paires e-mail–mot de passe complètes. Il ne faut pas supposer que chaque adresse e-mail était associée à un mot de passe, qu’un mot de passe est encore valide ou que les deux éléments appartenaient à la même personne.

L’analyse de la source mentionne également des journaux, des données partielles de cartes de paiement et des fichiers portant le nom de services précis; ces éléments ne sont pas ajoutés aux deux catégories structurées et ne prouvent pas que les services cités ont subi une violation de données. Les numéros de téléphone, les adresses postales, les pièces d’identité officielles, les données complètes de cartes de paiement et le contenu de messages privés ne font pas partie des catégories vérifiées pour cette fiche.

En production, aucune tâche d’importation n’est associée à cette fiche, et toutes les collections locales d’adresses e-mail, de mots de passe et d’autres données personnelles contiennent zéro lien. Il est donc impossible de tirer une conclusion sur la présence locale de ces données, les correspondances de mots de passe, les sites sources ou la présence conjointe de différents champs dans la collection externe.

kayo.moe ne se résout pas lors de la vérification DNS actuelle. Une archive du 14 septembre 2018 confirme que Kayo.moe était un service public et gratuit d’hébergement de fichiers; elle n’authentifie ni les sources d’origine des données ni une quelconque violation de données particulière. Si vous savez par ailleurs que vous avez réutilisé un même mot de passe sur plusieurs services, vous pouvez le remplacer par un mot de passe unique sur chaque service où il est encore actif et activer l’authentification multifacteur. Une simple correspondance d’adresse e-mail ne prouve ni l’existence d’un compte actif, ni une prise de contrôle de compte réussie, ni l’inscription à un service donné.