Brèche : 100 millions d’utilisateurs de Quora affectés

Les jours se suivent et, parfois, se ressemblent. Alors que Marriott International a récemment reconnu une importante brèche de données ayant affecté 500 millions de clients de sa chaîne hôtelière Starwood, c’est au tour de Quora de faire état d’une intrusion susceptible d’avoir conduit au vol de données personnelles de 100 millions de ses utilisateurs.

Dans un billet de blog publié ce lundi 3 décembre, le service de questions/réponses communautaire indique avoir découvert vendredi « que certaines données d’utilisateurs ont été compromises par un tiers qui a obtenu un accès non autorisé à l’un de [ses] systèmes ». Quora précise avoir notifié les autorités – mais pas lesquelles – et entamé une enquête, avec l’aide d’une « entreprise de sécurité et d’investigation numérique leader ».

Le service indique avoir « pris des mesures pour contenir l’incident », tout en reconnaissant ne pas en avoir identifié « les causes précises ». Ni l’ampleur exacte, en fait. Car dans le même billet de blog, Quora explique « pour environ 100 millions d’utilisateurs, les informations suivantes pourraient avoir été compromises ». Et d’égrainer : « nom, adresse e-mail, mot de passe chiffré, données importées des réseaux liés en cas d’autorisation des utilisateurs ; actions et contenus publics […] ; actions et contenus non publics […] ». Ce qui recouvre notamment les messages privés ou les votes négatifs.

Les questions et réponses écrits de manière anonymes ne sont, pas construction, pas concernés, et Quora précise que « la vaste majorité » des contenus affectés « était déjà publique ». Mais assurément pas les données de comptes, dont le service reconnaît que le sujet « est sérieux ».

Quora indique notifier les utilisateurs concernés, fermer leurs sessions et invalider leurs mots de passe. Mais le service ne précise pas quel algorithme il a utilisé pour chiffrer ces derniers. Dès lors, l’étendue du risque potentiel pour les utilisateurs ayant la mauvaise habitude de réutiliser les mots de passe reste difficile à mesurer.