Les revendications de fuite de données chez Carhartt réduites de moitié après l'examen de Troy Hunt

Quand une revendication de fuite ne tient pas la route

Une nouvelle revendication de fuite de données chez Carhartt qui circule cette semaine est un rappel utile que tout ce qu'un groupe de pirates publie en ligne ne doit pas être pris au pied de la lettre. Le groupe d'extorsion ShinyHunters a annoncé avoir compromis le détaillant américain de vêtements de travail et de mode Carhartt, affirmant avoir volé plus de 50 Go de données compressées contenant des millions d'enregistrements de clients. La revendication initiale chiffrait à près de 25 millions le nombre d'adresses e-mail uniques, un chiffre qui s'est rapidement répandu comme une vérité établie dans les flux d'actualités cybersécurité et sur les réseaux sociaux.

Mais le chercheur en sécurité Troy Hunt, fondateur de Have I Been Pwned, a décidé de vérifier réellement les données avant d'accepter ce chiffre. Ce qu'il a découvert était bien moins dramatique que la revendication accrocheuse, et cela offre une leçon précieuse sur la manière dont les signalements de fuites devraient fonctionner.

Comment Troy Hunt a vérifié les données

Le processus de Hunt est exactement ce qui devrait se produire à chaque fois qu'un groupe criminel annonce une nouvelle fuite : extraire le jeu de données réel, l'examiner directement et voir si les revendications correspondent à la réalité. Au lieu d'accepter le chiffre de ShinyHunters d'environ 25 millions d'adresses e-mail uniques, Hunt a lui-même examiné les données.

Son examen a révélé que le nombre réel d'adresses e-mail uniques et vérifiables dans les données de Carhartt était plus proche de 12,9 millions, soit environ la moitié de ce que le groupe avait publiquement revendiqué. C'est toujours un nombre significatif de personnes affectées, mais c'est une échelle radicalement différente de celle qui a d'abord circulé dans les reportages et les flux d'alertes. Le point de Hunt n'était pas que Carhartt n'était pas du tout affecté, mais que l'ampleur de l'incident avait été gonflée, que ce soit intentionnellement par les criminels ou par une gestion négligente des données à un moment donné de la chaîne de signalement.

Pourquoi les chiffres ne correspondaient pas

Ce type de gonflement n'est pas inhabituel dans l'écosystème des signalements de fuites. Les groupes d'extorsion ont tout intérêt à exagérer l'ampleur d'un piratage : des chiffres plus importants génèrent plus d'attention médiatique, plus de pression sur l'organisation victime et plus de levier dans les négociations de rançon. Les enregistrements en double, les entrées mal formées et les données provenant de sources sans rapport peuvent tous gonfler un nombre brut de fichiers sans représenter de véritables comptes compromis nouveaux ou uniques.

La mise en garde de Hunt met en lumière un problème plus large : les journalistes, les fournisseurs de sécurité et les systèmes d'alerte automatisés répètent souvent les chiffres annoncés par un groupe de pirates sans les vérifier indépendamment. Une fois qu'un chiffre comme « 25 millions d'enregistrements » est publié, il a tendance à être copié d'une source à l'autre, devenant accepté comme un fait même si personne n'a réellement vérifié les données sous-jacentes. C'est précisément cette lacune que l'enquête de Hunt a comblée pour Carhartt.

Les défis d'attribution et de vérification ne sont pas propres aux groupes motivés financièrement comme ShinyHunters. Même dans des opérations plus sophistiquées parrainées par des États, comme la campagne zero-day de Windows du groupe Lazarus visant les travailleurs de la défense récemment signalée, les chercheurs doivent soigneusement valider les revendications et les détails techniques plutôt que de se fier uniquement aux rapports initiaux. Le cas Carhartt est un exemple à plus petite échelle, orienté consommateur, de la même discipline : vérifier avant d'amplifier.

Ce que cela signifie pour vous

Si vous avez reçu une alerte ou vu des titres affirmant que Carhartt avait subi une fuite affectant près de 25 millions de personnes, le chiffre corrigé d'environ 12,9 millions mérite toujours d'être pris au sérieux si vous avez un compte chez ce détaillant. Une fuite de données chez Carhartt de cette ampleur, même au chiffre vérifié inférieur, pourrait exposer des adresses e-mail et potentiellement d'autres détails de compte à des tentatives supplémentaires de hameçonnage ou de bourrage d'identifiants.

Le point le plus important à retenir, cependant, est la manière dont vous devriez généralement traiter les actualités sur les fuites. Lorsqu'un groupe criminel annonce un piratage, ses chiffres sont une revendication de départ, pas un fait vérifié. Les chercheurs réputés qui examinent les données brutes, comme Hunt l'a fait ici, sont ce qui transforme un titre effrayant en une image précise du risque réel.

Points à retenir concrets

• Si vous avez un compte Carhartt, changez votre mot de passe et activez l'authentification à deux facteurs là où elle est disponible, quel que soit le nombre exact de comptes affectés.
• Méfiez-vous des e-mails de hameçonnage qui mentionnent Carhartt ou prétendent être des avis de sécurité concernant la fuite ; les attaquants exploitent souvent les cycles d'actualités sur les fuites.
• Traitez les chiffres initiaux d'ampleur des fuites provenant de groupes de pirates avec scepticisme jusqu'à ce qu'un chercheur de confiance ou l'entreprise concernée confirme les détails.
• Utilisez un gestionnaire de mots de passe et des mots de passe uniques par site afin qu'un seul compte compromis, vérifié ou non, ne mette pas vos autres comptes en danger.

L'incident Carhartt est un rappel que les revendications de fuites de données méritent d'être examinées avant de façonner la perception publique ou la panique personnelle. La vérification compte, et grâce aux chercheurs indépendants qui ont contrôlé le travail, l'ampleur réelle de cette fuite est désormais beaucoup plus claire que ce que l'alerte initiale suggérait.