Ashley Madison : une fuite a exposé 36 millions de comptes d'utilisateurs

Des pirates ont publié en 2015 les données d'environ 36 millions de comptes Ashley Madison. Les autorités de régulation du Canada et de l'Australie ont constaté une sécurité insuffisante, et l'exploitant a versé 1,6 million de dollars dans le cadre d'un accord aux États-Unis.

Ce qui s'est passé

En juillet 2015, un groupe se faisant appeler « The Impact Team » a annoncé avoir piraté Avid Life Media, la société derrière Ashley Madison. En août 2015, il a publié les données d'environ 36 millions de comptes d'utilisateurs, notamment des informations de profil, des adresses e-mail et certaines données de facturation. Une enquête conjointe des autorités de protection de la vie privée du Canada et de l'Australie a conclu que l'entreprise n'avait ni politiques de sécurité documentées, ni processus de gestion des risques, ni formation suffisante du personnel. Elle utilisait en outre un accès à distance à facteur unique et conservait mots de passe et clés en clair. Les autorités ont également critiqué la conservation illimitée des données et le fait de faire payer les utilisateurs pour les supprimer. En décembre 2016, les exploitants ont conclu un accord avec la Federal Trade Commission (FTC) américaine et plusieurs États. Ils ont accepté un programme de sécurité et versé 1,6 million de dollars.

Ce qui est documenté

• Office of the Privacy Commissioner of Canada et Australian Information Commissioner : mesures de protection insuffisantes ; violations des lois canadienne et australienne sur la vie privée ; un accord de conformité et un engagement exécutoire ont été acceptés (août 2016).
• Le même rapport : les utilisateurs concernés ont reçu des e-mails d'extorsion après la fuite.
• FTC : les exploitants ont transigé sur des accusations de pratiques de sécurité trompeuses et déloyales, notamment la conservation des données d'utilisateurs ayant payé 19 $ pour un « Full Delete » ; 1,6 million de dollars versés au total (décembre 2016).

Ce qui n'a pas été établi

• Qui était derrière l'attaque.
• L'étendue complète de ce à quoi les attaquants ont eu accès, car les journaux ont été effacés.

Ce que cela signifie pour vous

1. Inscris-toi aux services sensibles avec une adresse e-mail distincte qui ne révèle pas ton nom.
2. Vérifie avant de t'inscrire comment un service supprime tes données, et si la suppression est payante.
3. Si tu reçois un e-mail de chantage après une fuite, ne paie pas ; signale-le à la police.