Fuite de données chez MyFitnessPal

Les catégories de données vérifiées sont les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Selon les informations rapportées, les données de mots de passe sont associées à des valeurs de hachage : SHA-1 aurait été utilisé pour certains comptes et bcrypt pour les comptes plus récents. Cette situation diffère d’une fuite de mots de passe en clair, mais le risque subsiste pour les mots de passe faibles ou réutilisés. Les adresses e-mail et les noms d’utilisateur peuvent être rapprochés de comptes sur différentes plateformes. Les adresses IP peuvent également fournir des indications indirectes sur les régions de connexion et les caractéristiques habituelles des sessions. Les informations de carte de paiement, les relevés alimentaires quotidiens, les données de poids, l’historique des exercices ou les données d’identification officielles ne font pas partie des catégories de données vérifiées pour cette fiche. Le risque est principalement lié à la prise de contrôle de comptes et à la réutilisation des mots de passe.

Le nombre de comptes vérifiés dans l’incident MyFitnessPal est de 143 606 147. La période principale de la fuite à retenir est février 2018, la date d’ajout vérifiée se situe en février 2019 et la dernière mise à jour de la source date du 21 février 2019. Selon la déclaration de l’entreprise, les informations concernées comprennent les noms d’utilisateur, les adresses e-mail et les mots de passe hachés. Les adresses IP figurent également dans les journaux externes vérifiés relatifs à la sécurité des comptes. Les champs affichés doivent donc se limiter aux adresses e-mail, aux adresses IP, aux mots de passe et aux noms d’utilisateur. Le fait que MyFitnessPal soit un service de suivi de l’alimentation et de l’activité physique ne signifie pas que les données des journaux de santé ont également été divulguées. L’ajout de champs non vérifiés donne une perception erronée du risque.

Le risque le plus élevé concerne les personnes qui utilisent sur d’autres services la même adresse e-mail que sur leur compte MyFitnessPal et un mot de passe similaire. Si le même mot de passe est réutilisé sur des applications de fitness, d’alimentation ou de sport, des réseaux sociaux, des comptes de messagerie et des comptes sur des sites marchands, des attaquants peuvent exploiter ces informations dans des attaques automatisées par essais de connexion. Les personnes qui n’ont pas accédé à leurs anciens comptes depuis des années sont également exposées, car un mot de passe oublié peut encore être valide ailleurs. Pour les salariés inscrits avec une adresse e-mail professionnelle, les messages d’hameçonnage peuvent paraître plus convaincants. L’association d’une adresse IP et d’un nom d’utilisateur peut servir à personnaliser de fausses alertes de connexion ou de faux messages de récupération de compte.

Si vous êtes concerné, remplacez d’abord le mot de passe de votre compte MyFitnessPal par un mot de passe unique et robuste. Si vous utilisez le même mot de passe, ou un mot de passe similaire, sur d’autres services, changez en priorité ceux de vos comptes de messagerie, de réseaux sociaux et de stockage dans le cloud, de vos comptes sur des sites marchands, de vos comptes d’applications de fitness et de vos comptes associés à des liens de paiement. Un gestionnaire de mots de passe permet de générer un mot de passe distinct pour chaque service et réduit le risque de réutilisation. Activez la vérification en plusieurs étapes sur les comptes qui la proposent. Méfiez-vous des faux messages de réinitialisation de mot de passe, de récompense, d’abonnement, de facture ou de suspension de compte envoyés au nom de MyFitnessPal ou d’une application de fitness. Vérifiez manuellement l’adresse avant de cliquer sur un lien et n’ouvrez pas les fichiers ou formulaires suspects.

À long terme, protégez vos applications de fitness et de mode de vie avec la même rigueur que vos principaux comptes de messagerie et vos comptes financiers. L’inscription à de nombreuses applications avec la même adresse e-mail étend le risque d’une seule fuite à différents services. Passez régulièrement en revue vos anciens comptes, changez les mots de passe des services que vous n’utilisez plus ou supprimez ces comptes. Un gestionnaire de mots de passe peut servir d’outil principal pour générer des mots de passe aléatoires et uniques. En entreprise, il est important d’établir des règles de sécurité empêchant les salariés d’utiliser leur adresse e-mail et leurs mots de passe professionnels dans des applications personnelles. Gardez à l’esprit que d’anciennes fuites peuvent refaire surface des années plus tard et ne réutilisez pas d’anciens mots de passe pour de nouveaux comptes.

Lorsqu’un résultat MyFitnessPal apparaît sur LeakData, cela indique que l’adresse e-mail figure dans le jeu de données de 2018 relatif aux comptes de fitness et d’alimentation. Ce résultat ne prouve pas que vos journaux de santé ou d’alimentation actuels ont été compromis : sa portée se limite aux champs vérifiés d’identifiants de compte et de mots de passe présentant un risque. Vérifiez d’abord votre compte MyFitnessPal, puis les mots de passe utilisés à la même période et les comptes importants ouverts avec la même adresse e-mail. Examinez en priorité votre compte de messagerie, vos réseaux sociaux, vos comptes sur des sites marchands et vos comptes de stockage dans le cloud. La période principale de l’incident est février 2018, et la date d’ajout vérifiée se situe en février 2019. Cette chronologie évite que l’écran Sécurité des comptes interprète à tort le résultat comme un événement actuel et vous indique le bon ordre de priorité.