Les titulaires d'un compte LiveTrail ont été informés d'une cyberattaque : un accès non autorisé à une partie du serveur de la plateforme a permis d'extraire des données liées à leurs comptes. Deux informations sont en cause : l'adresse électronique qui sert d'identifiant de connexion et le mot de passe, stocké sous forme hachée selon l'entreprise.
Un périmètre limité à l'identifiant et au mot de passe chez LiveTrail
Installé à Chamonix-Mont-Blanc, LiveTrail édite des solutions d'inscription en ligne, de chronométrage et de suivi en direct pour les courses de trail et d'ultra-trail, et indique gérer environ 300 courses dans le monde. Le périmètre qu'il annonce est fermé : aucune autre catégorie de données n'est citée.
L'entreprise dit avoir fermé l'accès à l'origine de l'incident, renforcé ses mesures de sécurité, imposé la réinitialisation de l'ensemble des mots de passe concernés et placé ses systèmes sous surveillance renforcée. Le nombre de comptes touchés n'est pas communiqué, aucune date n'est associée à l'intrusion ni à sa détection, et la communication ne mentionne aucun signalement à la CNIL.
Pourquoi un mot de passe haché reste une donnée sensible
Un mot de passe haché n'est pas lisible tel quel : il a été transformé pour ne pas apparaître en clair. Il peut toutefois être retrouvé dans certains cas, en particulier lorsqu'il est simple ou courant. Associé à l'adresse électronique, il permettrait alors des tentatives de connexion sur d'autres services où le même mot de passe aurait été réutilisé. L'adresse électronique seule suffit par ailleurs à envoyer de faux messages se réclamant de LiveTrail, un risque d'hameçonnage que l'entreprise évoque elle-même.
Détails techniques :
- Accès non autorisé à une partie du serveur, avec extraction de données de comptes
- Mots de passe stockés sous forme hachée selon l'entreprise
- Réinitialisation imposée de l'ensemble des mots de passe concernés
- Nombre de comptes, dates d'intrusion et de détection non communiqués
- Aucun signalement à la CNIL mentionné
Données concernées :
- Adresse email (identifiant de connexion)
- Mot de passe (haché)
Mentions :
Statut Fuites Infos : Confirmée par l'entreprise