Violation de données de Lako do posla en 2022

Un article du chercheur daté du 7 septembre 2022 indique que la base de données de lakodoposla.com était apparue en ligne quelques jours auparavant et contenait des prénoms, des noms de famille, des adresses e-mail, des mots de passe et d’autres champs concernant environ 500 000 utilisateurs actifs et inactifs. L’auteur a signalé qu’environ 15 000 mots de passe étaient en clair et que l’entrée la plus récente de la base de données datait du 28 juillet. Un article local consacré à la sécurité, daté du 23 septembre, reprend le même nombre d’utilisateurs et le même constat sur les mots de passe, en les attribuant au chercheur.

Le chercheur s’est appuyé sur un message publié sur un forum le 10 août et sur des observations historiques du réseau pour considérer l’inclusion de fichiers locaux et un accès à MySQL depuis l’extérieur comme une chaîne d’attaque probable. L’auteur ayant explicitement présenté cette partie comme une déduction, la méthode n’est pas décrite comme un fait confirmé. Aucun avis de l’entreprise, aucun document émanant d’une autorité de régulation ni aucune entrée vérifiée dans un index externe de violations de données n’a été trouvé; l’identification de cet incident repose sur le rapport technique indépendant et sur le jeu de données local d’adresses e-mail.

La source externe fait état d’environ 500 000 utilisateurs actifs et inactifs; ce chiffre arrondi ne résulte pas d’une analyse des adresses e-mail uniques. Le traitement mené à terme en production a réuni les valeurs des champs sources explicitement destinés aux adresses e-mail et celles des champs de noms d’utilisateur de connexion dont une validation agrégée avait démontré qu’ils contenaient des adresses e-mail. Les préférences de notification, les indicateurs relatifs aux e-mails et les champs d’identifiant ou de filtrage des e-mails ont été exclus.

Le traitement local a accepté 554 899 lignes selon le validateur canonical-ascii-email-v1 et a enregistré le même nombre d’associations uniques d’adresses e-mail. Son manifeste canonique d’entrée consigne l’intégrité des fichiers et le périmètre des lignes. Le nombre approximatif d’utilisateurs indiqué par la source externe et le nombre local d’adresses e-mail uniques ne sont pas additionnés, et une adresse e-mail n’est pas présumée correspondre à une personne, à un compte ou à un utilisateur actif.

Les deux articles publics étayent explicitement la présence de noms, d’adresses e-mail et de mots de passe pour cet incident. Les anciennes catégories correspondant aux dates de naissance, aux genres, aux informations professionnelles, aux nationalités, aux numéros de téléphone, aux adresses physiques, aux noms d’utilisateur et à l’activité sur le site web ont été supprimées, car aucun schéma complet actuellement accessible ni aucune source indépendante n’en a de nouveau établi la présence lors de cet examen. La mention d’« autres » données par le chercheur n’est pas assez précise pour ajouter des catégories individuelles.

Les collections de données en production ne contiennent, pour cet incident, aucune association avec des mots de passe, des noms, des numéros de téléphone, des noms d’utilisateur, des adresses IP, des identités ou des données sensibles; seul l’index des adresses e-mail est renseigné. Le constat du chercheur concernant environ 15 000 mots de passe en clair constitue donc un élément de contexte issu d’une source externe et ne signifie pas qu’une recherche locale de mots de passe est disponible. Le site actuel lakodoposla.com confirme qu’il s’agit bien de la plateforme d’offres d’emploi, mais ne publie aucun communiqué sur l’incident.

Si vous aviez un compte sur ce service en 2022 et que vous avez peut-être réutilisé son mot de passe ailleurs, vous devriez remplacer ce mot de passe sur chacun de ces autres services par un mot de passe unique. Ce conseil découle du constat du chercheur concernant les mots de passe en clair; il ne signifie pas que le mot de passe de chaque utilisateur était stocké en clair. Vous devriez vérifier les messages inattendus présentés comme des candidatures, des mises à jour de CV ou des vérifications de compte par un canal connu, auquel vous accédez directement depuis le domaine actif lakodoposla.com, plutôt qu’en suivant un lien reçu.