Fuite de données de Knuddels en 2018

Selon l’annonce publiée par Knuddels sur son forum, une personne inconnue a publié 8 000 enregistrements de membres sur Pastebin le 5 septembre 2018. L’entreprise a confirmé l’authenticité des données le 6 septembre, a temporairement désactivé les identifiants concernés et a préparé des mesures de réinitialisation des mots de passe. Le 7 septembre, elle a reçu un lien vers un fichier plus volumineux contenant 1 872 000 pseudonymes et mots de passe; Knuddels a indiqué avoir alors exigé de tous ses membres qu’ils changent de mot de passe et leur avoir envoyé des notifications.

Les 8 000 premiers enregistrements auraient contenu des pseudonymes et des mots de passe, ainsi qu’une adresse e-mail dans 57 % des cas, un prénom dans 41 % des cas et un lieu de résidence dans 30 % des cas. L’entreprise a également déclaré qu’environ 330 000 des quelque 808 000 adresses e-mail avaient été vérifiées et correspondaient à des personnes distinctes. Le chiffre de 808 330 adresses e-mail uniques du jeu de données externe dénombre des identifiants e-mail; il ne remplace pas le sous-ensemble de personnes vérifiées indiqué par l’entreprise.

Knuddels a expliqué que, malgré la mise en place du hachage des mots de passe en 2012, l’entreprise avait conservé une version non chiffrée pour un ancien filtre destiné à empêcher les utilisateurs de partager leurs mots de passe dans les discussions. Elle a supprimé ces versions et désactivé le filtre le 7 septembre 2018. Son enquête a identifié un serveur de sauvegarde doté d’un système d’exploitation obsolète comme une première faiblesse possible, et l’entreprise l’a mis hors service; le message publié sur le forum ne présentant pas cette découverte comme une conclusion définitive sur la manière dont l’accès initial avait été obtenu, elle n’est pas décrite ici comme la cause certaine de l’incident.

L’autorité de protection des données du Bade-Wurtemberg a ensuite infligé à Knuddels une amende de 20 000 € pour avoir stocké des mots de passe en clair. Elle a également tenu compte de la rapidité de la notification par l’entreprise, de sa coopération, de sa transparence et des améliorations apportées à la sécurité. Le montant de l’amende ne mesure pas le nombre de personnes ou d’adresses e-mail présentes dans le jeu de données.

Le traitement en production, désormais terminé, a porté sur 808 156 lignes valides d’un fichier ne contenant que des adresses e-mail, constitué par l’union de deux colonnes explicitement dédiées aux adresses e-mail. Il a créé le même nombre d’associations uniques d’adresses e-mail. Les noms d’utilisateur, mots de passe, noms, localisations et autres champs textuels ont été exclus de l’importation locale. Le nombre d’adresses e-mail dans l’index local est inférieur de 174 au chiffre du jeu de données externe; la version de la source et les modalités de normalisation n’étant pas identiques, aucune cause n’est attribuée à cet écart.

Le site officiel de Knuddels et le forum consacré à l’incident restent accessibles. Une correspondance d’adresse e-mail dans l’index local ne prouve ni l’appartenance à la plateforme, ni l’identité réelle, ni la ville de résidence, ni l’utilisation persistante d’un mot de passe. Si vous avez réutilisé sur un autre service un mot de passe employé en 2018, sous une forme identique ou similaire, remplacez-le sur ce service par un mot de passe unique. Si vous recevez un message inattendu concernant une connexion ou une réinitialisation de mot de passe, vérifiez-le en ouvrant directement le service officiel plutôt qu’en suivant le lien du message.