Violation de données de Kreditplus en 2020

La fiche externe vérifiée recense 768 890 adresses e-mail uniques, porte les classifications « vérifié » et « non sensible » et fournit 15 types de données structurés. Son descriptif indique que le fichier plus large contenait environ 896 000 enregistrements, dont quelque 769 000 adresses e-mail uniques. Cette mesure n’est pas interprétée comme un nombre de comptes, de clients ayant recours au crédit ou de personnes distinctes.

Un article de sécurité archivé, daté du 4 juillet 2020, indique qu’un courtier proposait une base de données étiquetée KreditPlus, contenant 896 170 lignes, et avançait juin 2020 comme date de la violation. L’article distinguait explicitement les 14 organisations citées des quatre dont on savait alors qu’elles avaient confirmé une violation de données. Ses propos sur les mots de passe concernaient l’ensemble des bases de données annoncées et ne constituaient pas des éléments de preuve propres à Kreditplus. Le site actuel kreditplus.com permet d’établir l’identité du service indonésien de financement, mais ne publie aucun avis relatif à l’incident.

Les catégories répertoriées par la source externe sont les dates de naissance, les adresses e-mail, les employeurs, la composition familiale, les genres, les niveaux de revenus, le coût de la vie, les situations matrimoniales, les noms de jeune fille des mères, les noms, les numéros de téléphone, les adresses physiques, les lieux de naissance, les religions et les noms des conjoints. La fiche n’indique pas que chaque champ figurait dans chaque ligne, ni que les personnes d’un même foyer étaient reliées entre elles de manière fiable.

Les mots de passe, les comptes bancaires, les cartes de paiement, les identifiants officiels, les contrats de crédit et les historiques de transactions ne font pas partie des catégories vérifiées. L’affirmation générale sur les mots de passe figurant dans l’article de l’époque consacré à plusieurs entreprises n’a donc pas été ajoutée. Une correspondance d’adresse e-mail ne suffit pas non plus, à elle seule, à établir que les 14 autres champs se rapportent à cette personne.

Le traitement local achevé a porté sur l’unique colonne d’adresses e-mail du fichier kreditplus-emails.txt. Il a accepté 768 919 lignes valides et, après normalisation de la casse et déduplication, a inscrit 768 843 associations d’adresses e-mail uniques dans l’index. Le nombre de lignes valides dépasse de 76 celui de l’index local, tandis que le nombre d’adresses e-mail uniques de la source externe le dépasse de 47. Le fichier local ne contient aucune colonne correspondant aux 14 autres catégories, et ses totaux ne sont pas combinés avec le chiffre externe.

Les noms, numéros de téléphone, adresses, dates de naissance, informations familiales, revenus et renseignements sur l’employeur peuvent rendre plus convaincants des messages qui prétendent concerner une demande de financement, provenir du service client ou émaner d’un membre de la famille. Si vous savez avoir utilisé ce service, vérifiez toute demande inattendue de crédit, de mise à jour de documents, de paiement ou de vérification d’identité par un canal connu, en y accédant directement depuis le domaine actif kreditplus.com, et non par un lien figurant dans le message. Les mots de passe ne faisant pas partie des catégories vérifiées pour cet événement, cette fiche n’affirme pas qu’un mot de passe a été exposé.