Violation de données KitchenPal de 2023

Un article indépendant publié le 23 novembre 2023 indiquait que l’auteur de la menace proposait à la vente une base de données de 146 000 lignes et avait publié un échantillon concernant 28 personnes. La réponse de KitchenPal, citée directement dans l’article, confirmait une tentative d’attaque contre ses serveurs cette semaine-là, une exposition limitée de données d’utilisateurs, la correction du problème, un audit de l’ensemble du système et la prise de contact avec les utilisateurs dont les données avaient pu être compromises. L’entreprise n’a confirmé ni le mode d’accès initial, ni la durée totale de l’accès, ni l’intégralité du nombre de lignes revendiqué par l’auteur de la menace.

La fiche externe retient la date du 14 novembre 2023 et rapporte que KitchenPal attribuait le jeu de données à un environnement de préproduction contenant un petit nombre d’utilisateurs réels à des fins de débogage. KitchenPal précisait également que les mots de passe associés ne pouvaient pas être utilisés. Cette date sert de repère pour l’incident dans la fiche externe; elle ne correspond pas à une date d’accès initial rendue publique. La signification technique de « ne pouvaient pas être utilisés » n’ayant pas été publiée, cette déclaration n’est pas élargie à une affirmation selon laquelle tout accès aux comptes était impossible.

Outre les adresses e-mail et les noms, le jeu de données externe répertorie des dates de naissance partiellement renseignées, des genres, des localisations géographiques, des caractéristiques physiques telles que la taille et le poids, des identifiants de profils sur les réseaux sociaux et des empreintes de mots de passe bcrypt. Le caractère explicitement incomplet des données signifie qu’il ne faut pas supposer que les huit catégories sont toutes présentes pour chaque personne. Les 98 726 adresses e-mail uniques et les 146 000 lignes revendiquées par l’auteur de la menace sont exprimées dans des unités différentes; les lignes de l’échantillon ne sont ajoutées à aucun de ces deux totaux.

L’environnement de production ne comporte aucune tâche d’importation associée à l’identité KitchenPal. Les collections d’adresses e-mail, de noms d’utilisateur, de mots de passe, d’identités, de numéros de téléphone, d’adresses IP, de champs personnels, de données sensibles et de données générales sur les violations ne contiennent aucune association locale. Le nombre d’adresses e-mail indiqué par la source externe n’est donc pas présenté comme un ensemble d’enregistrements consultables localement. Le domaine actuel de KitchenPal est opérationnel et confirme qu’il s’agit bien de l’application de gestion des provisions, des courses et de planification des repas. Si vous avez réutilisé sur un autre service un mot de passe employé pendant la période de l’incident, remplacez-le sur ce service par un mot de passe unique. Vérifiez les messages inattendus concernant votre compte en passant par l’application officielle ou en ouvrant vous-même le domaine officiel.