Violation de données chez Kickstarter en 2014

La fiche externe consacrée à la violation de données indique la date du 16 février 2014. L’avis de sécurité de Kickstarter confirme l’incident et les catégories de données concernées, mais ne précise pas quand l’attaquant est entré pour la première fois dans le système. La date du catalogue ne doit donc pas être interprétée comme celle de l’accès initial. L’entreprise a déclaré n’avoir aucune preuve d’un accès aux données de carte bancaire et n’avoir constaté, au moment de l’avis, une activité non autorisée que sur deux comptes. Cette déclaration de portée limitée ne signifie pas qu’aucune donnée n’a été extraite et n’exclut pas une utilisation abusive ultérieure.

Selon l’entreprise, les anciens mots de passe étaient chacun associés à un sel unique et hachés à plusieurs reprises avec SHA-1, tandis que les plus récents utilisaient bcrypt. Il ne s’agissait pas de mots de passe en clair, mais il ne faut pas pour autant les considérer comme à l’abri des tentatives de cassage hors ligne. Les données de carte bancaire ne sont pas retenues comme catégorie structurée. Les noms sont également omis, car les sources sélectionnées ne les mentionnent pas clairement comme un champ général et vérifié pour cet incident.

L’import en production, achevé et limité aux adresses e-mail, a traité 5 169 669 lignes valides et créé 5 169 660 associations uniques d’adresses e-mail dans l’index actif. Le traitement local n’a importé ni noms d’utilisateur, ni mots de passe, ni numéros de téléphone, ni adresses postales; il n’est donc pas affirmé que ces champs sont présents ensemble dans les données locales. Le nombre externe d’adresses e-mail uniques dépasse de 6 803 celui des associations locales. Les différences de version du jeu de données, de normalisation et de déduplication n’ont pas été résolues; aucune cause n’est attribuée à cet écart et les chiffres ne sont pas additionnés.

Le domaine actuel de Kickstarter et son avis relatif à l’incident restent accessibles. Une simple correspondance d’adresse e-mail ne permet pas d’établir qu’une personne a créé un projet, soutenu une campagne particulière, ou que son numéro de téléphone et son adresse figuraient dans les données de l’incident. Si vous avez pu réutiliser le même mot de passe sur un autre service, choisissez-y un mot de passe unique; vous pouvez aussi utiliser les fonctionnalités actuelles d’authentification à deux facteurs et d’historique des accès de Kickstarter. Si vous recevez un message inattendu concernant votre compte ou un paiement, vérifiez-le en accédant directement au domaine officiel, plutôt qu’en suivant le lien qu’il contient.