Violation de données chez KnownCircle en 2016

La fiche externe consacrée à cette violation indique la date du 12 avril 2016 et décrit l’obtention d’un grand volume de données par un tiers externe auprès de ce service aujourd’hui disparu, aux alentours d’avril 2016. Selon cette fiche, le jeu de données au format JSON contenait des gigaoctets de données marketing liées aux secteurs de l’immobilier et de l’assurance, notamment des journaux d’envoi d’e-mails et des données de suivi de cartes-cadeaux. La méthode d’accès initiale, le jour exact de l’accès, la date et l’heure de publication ainsi que la réponse de l’entreprise ne sont pas divulgués.

Les catégories de données répertoriées sont les adresses e-mail, les messages électroniques, les genres, les noms, les mots de passe, les numéros de téléphone et les adresses postales. Cette liste ne signifie pas que tous les champs étaient présents ensemble pour chaque personne. Les cartes de paiement, les comptes bancaires, les numéros d’identification délivrés par les autorités et les numéros de sécurité sociale ne figurent pas parmi les catégories de la fiche externe.

La source externe rattache le champ des mots de passe à des hachages bcrypt concernant un petit nombre de membres du personnel de KnownCircle, et non l’ensemble des clients. Cette entrée n’est donc pas interprétée comme une fuite généralisée de mots de passe de clients ni comme un incident impliquant des mots de passe en clair. La mention de bcrypt ne prouve pas non plus, à elle seule, que les mots de passe ne pouvaient pas être retrouvés; elle indique uniquement le format de stockage signalé.

Une archive web de 2017 confirme que KnownCircle proposait des outils de gestion de la relation client, d’e-mail, de cartes-cadeaux et de marketing numérique aux agents d’assurance, aux agents immobiliers et à d’autres prestataires de services; cette archive n’est pas un avis d’incident. knowncircle.com redirige actuellement vers une autre page de la marque Known et ne présente plus l’ancien service. Le lien vers l’entreprise ouvre donc l’archive correspondant à la période de l’incident.

Aucune tâche d’importation n’est associée à l’identité KnownCircle dans l’environnement de production, et les collections d’adresses e-mail, de noms d’utilisateur, de mots de passe, d’identités, de numéros de téléphone, d’adresses IP, de champs personnels, de données sensibles et de données générales sur les violations ne contiennent aucune association locale. Le nombre d’adresses e-mail indiqué par la source externe n’est pas présenté comme un ensemble d’enregistrements consultables localement. Tout mot de passe d’un ancien membre du personnel de KnownCircle devrait être changé partout où il a été réutilisé. Les autres personnes devraient vérifier de manière indépendante les messages liés à l’immobilier ou à l’assurance qui utilisent un nom, une adresse e-mail, un numéro de téléphone ou une adresse, en passant par un canal de communication institutionnel connu.