La liste de clients volée à Carhartt était à moitié inventée. L'autre moitié est bien réelle.

Les chiffres ronds dans une fuite de données sont en général l'estimation de quelqu'un. Celui-ci a été vérifié, et il a fondu de moitié.

Le groupe d'extorsion ShinyHunters a publié environ 50 Go de données clients de Carhartt le 13 août, après que la marque de vêtements de travail a refusé de négocier une demande de 3,3 millions de dollars. Le lot semblait couvrir plus de 25 millions de personnes. Troy Hunt, qui gère Have I Been Pwned, l'a passé au crible et a découvert que des millions de fiches avaient tout simplement été fabriquées pour gonfler le total. Certains indices en sont presque drôles : des adresses comme michelle.larue@lkvb06fkzsjv.org, un tas bizarre de domaines .edu et .org, des dates de naissance concentrées au début des années 1900, et plus de clients au Monténégro qu'aux États-Unis. Une fois la fiction retirée, le compte réel s'établit à 12 933 413 adresses e-mail, ajoutées à HIBP le 25 août.

Ce qui reste est bien assez concret. Noms, adresses e-mail, numéros de téléphone et adresses postales de près de 13 millions de clients, tirés selon l'analyse de Hunt de l'entrepôt de données analytiques de Carhartt hébergé sur Databricks. Aucun mot de passe ni numéro de carte n'apparaît dans le lot publié. Environ 83 % des adresses avaient déjà circulé dans des fuites précédentes, ce qui montre comment ces listes s'accumulent au fil des ans : vendues, fusionnées, revendues, puis rembourrées de lignes inventées pour paraître plus effrayantes qu'elles ne le sont.

Il n'y a donc rien à réinitialiser ici, ce qui fait de cette affaire un problème d'hameçonnage plutôt qu'un problème de compte. Quelqu'un qui détient votre nom, votre numéro de portable et votre adresse peut rédiger un SMS de colis manqué ou un e-mail de remboursement très crédible, et c'est précisément l'usage de ces données. Vous pouvez vérifier si votre adresse figure dans le lot sur haveibeenpwned.com. Comme une tentative d'hameçonnage réussie finit toujours par atterrir sur un compte, la vérification confidentialité et comptes de Tendvane vous donne un résumé clair de la façon dont chaque compte de votre PC est connecté et de ce qu'il ouvre.