Violation de données de KomplettFritid en 2021

La fiche externe situe l’événement en février 2021, sans plus de précision, et utilise le 1er février comme date technique de début du mois. Le jour exact de l’accès n’étant pas public, cette entrée ne retient qu’une précision au mois. En janvier 2023, le média technologique norvégien Digi a rapporté que des informations volées concernant environ 140 000 clients étaient proposées à la vente. Son titre et son résumé publics indiquent que l’entreprise a reconnu que les informations personnelles pouvaient être utilisées à mauvais escient; les détails réservés aux abonnés ne sont pas considérés comme vérifiés de manière indépendante.

La fiche externe vérifiée recense 139 401 adresses e-mail uniques et six catégories de données. Elle indique que la plupart des mots de passe étaient des empreintes bcrypt, tandis qu’un petit nombre apparaissait en clair. La méthode d’accès initial, le moment exact de l’obtention ou de la publication des données, le nombre de mots de passe en clair et la couverture de chaque champ ne sont pas divulgués.

Le traitement local achevé n’a porté que sur la colonne explicitement consacrée aux adresses e-mail dans komplettfritid-emails.txt. Il a accepté 139 374 lignes valides puis, après conversion en minuscules et déduplication, a inscrit 139 350 associations d’adresses e-mail uniques dans l’index en production. L’écart de 24 enregistrements entre les lignes valides en entrée et les associations indexées résulte de cette déduplication.

Le décompte externe de 139 401 adresses e-mail uniques dépasse de 51 le nombre d’associations locales dans l’index en production. Ces valeurs ne sont pas additionnées. Le traitement local ne comporte aucune colonne d’adresse IP, de nom, de mot de passe, de numéro de téléphone ou d’adresse postale. Les catégories recensées dans la fiche externe n’impliquent donc pas que ces champs soient stockés avec une correspondance d’adresse e-mail dans l’index local.

Le domaine komplettfritid.no se résout toujours et négocie une connexion TLS, mais il renvoie actuellement la page « Boutique indisponible » de Shopify avec le code HTTP 402. La version archivée accessible la plus récente, datée du 17 février 2026, confirme l’identité du détaillant d’articles de plein air, de camping et de vêtements; il ne s’agit pas d’un avis d’incident. Le lien vers l’entreprise ouvre donc cette archive plutôt que la boutique indisponible.

Les mots de passe étant une catégorie de données vérifiée, si vous savez avoir utilisé un mot de passe sur ce service, vous devriez le remplacer partout où vous l’avez réutilisé et choisir un mot de passe unique. La combinaison d’adresses postales, de numéros de téléphone et d’adresses e-mail peut rendre plus convaincantes les tentatives d’hameçonnage liées à une livraison ou au service client. Vous devriez donc vérifier, par un canal connu, tout message inattendu concernant un paiement, une livraison ou une réinitialisation. Les cartes de paiement et les comptes bancaires ne font pas partie des catégories recensées dans la fiche externe.