Exposition présumée de données chez Omaze
La fuite de données d’Omaze de 2020 s’est produite en juillet 2020, lorsque des exports de bases de données MySQL de production sur AWS RDS appartenant à Omaze (omaze.com), une grande plateforme américaine de collecte de fonds et de tirages au sort en ligne, ont été exfiltrés et divulgués sur Internet.
Types de données exposées
6- Adresses e-mail
- Noms
- Localisations géographiques
- Genres
- Achats
- Mots de passe
À propos de cette fiche
Quelles informations ont été compromises lors de l’incident Omaze ?
Le jeu de données divulgué comprend les principales tables d’utilisateurs et les comptes utilisateurs WordPress (omaze_users.sql et omaze_wpusers.sql). Les catégories de données compromises comprennent :
- Coordonnées des donateurs : Adresses e-mail validées des utilisateurs (email, user_email), noms d’utilisateur (user_login) et noms affichés.
- Données d’identification personnelles : Prénoms et noms de famille, genres déclarés par les utilisateurs et codes postaux/ZIP.
- Transactions sur la plateforme : Identifiants de séquence des commandes (first_order_id), horodatages d’inscription et indicateurs de préférences marketing.
- Secrets d’authentification : Empreintes de mots de passe WordPress au format phpass (user_pass).
Combien de comptes ont été touchés ?
Un traitement canonique rigoureux en ASCII, conforme à la norme RFC 5322, a confirmé la présence de 2 794 460 adresses e-mail valides et uniques sur un total de 3,34 millions d’enregistrements bruts.
Analyse de sécurité et recommandations
La divulgation des noms des donateurs, de leur localisation et de leur historique de participation aux tirages au sort les expose à un risque important de fraudes caritatives ciblées, d’escroqueries fondées sur de fausses notifications de gains à la loterie et d’attaques par bourrage d’identifiants. Si vous êtes concerné, vous devriez :
- Mettre à jour votre mot de passe Omaze et tous les identifiants identiques réutilisés sur d’autres services.
- Vous méfier des communications non sollicitées qui annoncent un gain à un tirage au sort ou demandent le paiement de taxes ou de frais de traitement pour un prix prétendument remporté.
- Utiliser des mots de passe uniques, à forte entropie, gérés dans des coffres-forts dédiés aux identifiants.
Vérification et méthode éditoriale
LeakData compare le nom de l’incident, sa date, le nombre d’enregistrements concernés et les types de données exposées avec les sources accessibles. Les informations non vérifiées ne sont pas présentées comme des faits, et les fiches sont mises à jour lorsque de nouveaux éléments probants sont disponibles.
Signaler des informations manquantes ou incorrectes
