CafePress finit par avoir raison de la violation massive de données

Beaucoup de gens savent maintenant que CafePress, un détaillant de t-shirts et de marchandises très populaire, a subi une grave violation de données début 2019. En juillet, les abonnés un compte Twitter dénommé We Leak Info ont appris et quelques semaines plus tard, Lorsque le spécialiste de la sécurité, Troy Hunt, a mis la main sur les données, la nouvelle est répandue beaucoup plus loin.

Comme nous l’avions mentionné à l’époque , l’incident a eu lieu en février et il était plutôt important, avec environ 23 millions de comptes touchés. Les données divulguées incluaient également des informations telles que les adresses physiques et, selon Troy Hunt, les mots de passe figurant dans le dump étaient pas très bien protégés. À la lumière de tout cela, le comportement de CafePress était positivement étrange.

Il y avait aucune déclaration officielle, et bien que pas mal de journalistes aient essayé de demander un commentaire, le détaillant est resté bouche bée. Certains utilisateurs ont déclaré avoir été forcés de modifier leurs mots de passe, mais on leur a apparemment dit que action était déclenchée par une nouvelle stratégie de mot de passe, et non par une violation de données.

À l’heure actuelle, plus d’un mois et demi après le chargement de la base de données par Troy Hunt, dans La réponse est-il enregistré et un peu plus de sept mois après le vol de l’information, CafePress admet enfin publiquement qu’elle a été victime d’une faille informatique.

Les clients de CafePress commencent à recevoir des notifications de violation de données par e-mail

La semaine dernière, CafePress a commencé à envoyer des courriels informant les "précieux clients" un "incident de sécurité des données" impliquant des informations personnelles. Le détaillant est excusé abondamment à propos de la fuite et a apporté un peu plus de lumière sur le sujet. Mais était-ce suffisant?

Selon les captures écran partagées sur les réseaux sociaux , les utilisateurs ont été informés que des informations personnelles, notamment des noms, adresses e-mail et mots de passe, auraient pu être impliquées. Les gens ont été assurés que les données ont été déplacées vers "un environnement différent", mais ils ont également été invités à modifier le mot de passe qu ils utilisaient pour leur compte CafePress auprès de tout autre service en ligne où il est toujours actif. Le courrier électronique indiquait également que les utilisateurs devaient "rester vigilants" et se méfier des signes de vol identité.

Beaucoup de personnes qui ont reçu la notification étaient pas particulièrement satisfaites. Certains entre eux étaient très mécontents du fait que leurs mots de passe ont été stockés dans ce qui semble être un format récupérable (les notifications ne donnent pas de détails sur les mécanismes de stockage exacts). autres pensaient que ce type de message ne devrait pas provenir une adresse "sans plus", et la plupart étaient assez fâchés par le fait que le détaillant ouvre sur la faille plus de six mois après que cela se soit produit. Cependant, certaines choses peuvent les rendre encore plus sombres.

Les détails sont encore difficiles à trouver

Grâce à la puissance Internet, nous pouvons apprendre que le 4 septembre, environ deux semaines avant que les premières notifications de violation de données ne commencent à frapper les boîtes de réception des gens, les avocats de CafePress ont envoyé une lettre officielle [PDF] au procureur général de Iowa pour informer publiquement institution de la violation. Un jour plus tard, le 5 septembre, le détaillant a publié sur son site Web une page consacrée à incident. Des versions pour les citoyens britanniques , canadiens et australiens sont également disponibles, mais pour des raisons peu claires, il est pas très facile de les trouver. Au moment de la rédaction de ce document, ce contenu ne semble pas être disponible via le moteur de recherche de CafePress. Autant que nous sachions, il a en aucun cas été partagé avec les utilisateurs. Les informations contenues dans la lettre au procureur général de Iowa et sur la page Web difficile à localiser nous fournissent plus de détails sur ensemble de la violation de données.

Cela nous donne une ventilation de la localisation géographique des individus affectés. Apparemment, plus de 22 millions de personnes ont été touchées dans le monde, y compris 450 000 Australiens, environ 495 000 Canadiens et un peu plus un million de citoyens de Union européenne (dont 880 000 vivent au Royaume-Uni). Outre les noms, adresses e-mail et mots de passe, le "tiers non identifié" qui a violé la sécurité de CafePress a réussi à dérober les quatre derniers chiffres et les dates expiration de certaines cartes de crédit, ainsi que des informations sensibles telles que les numéros de sécurité sociale et identification fiscale (y compris équivalents au Canada, en Australie et au Royaume-Uni). Heureusement, environ 1% seulement de toutes les personnes touchées avaient des informations telles que les numéros de sécurité sociale, et recevront toutes une protection contre le vol identité payée par CafePress.

La lettre au procureur général de Iowa indique que le 6 août, CafePress "a découvert" que les données personnelles de ses clients sont "prétendument proposées à la vente et disponibles sur le Web sombre". Les responsables de la sécurité du détaillant n’étaient probablement pas trop surpris par cette "découverte", car, selon le même document, le 13 mars, ils traitaient d’une faille de sécurité dans la base de données concernée. À époque, ils avaient trouvé "aucune preuve médico-légale" suggérant que des informations avaient été volées, mais le 15 avril 2019, ils ont néanmoins forcé une réinitialisation du mot de passe pour tous ceux qui tentaient de se connecter à leur compte. Pour cette raison, le document indique que "les mots de passe qui auraient pu être obtenus lors de cet incident étaient donc plus en vigueur à compter du 15 avril 2019".

Même si nous supposons que tel est le cas, nous ne pouvons pas ignorer le fait que les gens réutilisent les mots de passe tout le temps . Nous ne pouvons pas non plus ignorer le fait que CafePress a pas traité le problème de la manière la plus transparente possible.