Compromission d'Ashley Madison (Avid Life Media)

En juillet 2015, un groupe se nommant l'Impact Team a annoncé avoir piraté Ashley Madison, le site de rencontres basé à Toronto qui faisait la promotion des relations extraconjugales sous le slogan « La vie est courte. Ayez une aventure. » Les attaquants ont exigé que la société mère Avid Life Media ferme définitivement Ashley Madison et un site jumeau, Established Men, faute de quoi ils publieraient l'intégralité de la base de données clients du site. L'entreprise a refusé — et les attaquants ont mis leur menace à exécution.

Ce qui s'est passé

L'Impact Team a obtenu l'accès aux systèmes d'Avid Life Media et exfiltré la base de données des comptes de l'entreprise ainsi que des dossiers internes. Le 15 juillet 2015, ils ont lancé leur ultimatum ; le 19 juillet, la compromission était publique, et le PDG Noel Biderman la qualifiait d'acte criminel. Lorsque l'entreprise a refusé de fermer les sites, les attaquants ont intensifié leur action.

Le 18 août 2015, l'Impact Team a publié plus de 60 Go de données via BitTorrent, couvrant environ 32 millions de comptes. Une seconde divulgation, le 20 août, a révélé des e-mails internes de l'entreprise, dont la correspondance du PDG.

Ce qui a été exposé

Les données divulguées comprenaient :

• Noms réels, adresses e-mail et adresses postales fournis à l'inscription
• Préférences sexuelles et activité des comptes
• Données partielles de carte de crédit et historiques de transactions de paiement

La divulgation a mis au jour un fait particulièrement dommageable : le service payant de « suppression complète » d'Ashley Madison, qui facturait aux utilisateurs l'effacement de leur profil, n'avait en réalité pas supprimé leurs données — contredisant directement la communication de l'entreprise.

Impact

Les conséquences furent graves et personnelles. L'exposition d'utilisateurs nommément identifiés a déclenché de vastes campagnes d'extorsion réclamant des paiements en Bitcoin, et a été reliée à des cas de suicide rapportés. Le PDG Noel Biderman a démissionné le 28 août 2015.

Les régulateurs ont réagi aux manquements sous-jacents en matière de sécurité et de communication commerciale. En décembre 2016, la FTC américaine et 13 États plus le district de Columbia ont conclu un accord avec l'entreprise (alors renommée Ruby Corp), qui a accepté un jugement de 17,5 millions de dollars, en grande partie suspendu, en versant 1,6 million. La FTC reprochait à la fois des pratiques laxistes de sécurité des données et l'utilisation de faux profils « engageurs » pour appâter les utilisateurs. En 2017, Ruby Corp a accepté un règlement supplémentaire de 11,2 millions de dollars des plaintes d'action collective de consommateurs.

Pourquoi c'est important

La compromission d'Ashley Madison a transformé la réflexion sur le préjudice réel de l'exposition des données. Contrairement aux compromissions de cartes de paiement, où le dommage est largement financier et réversible, cette fuite a exposé des informations personnelles intimes irréversibles — alimentant extorsion, ruine de réputation et drames. Elle est également devenue une affaire emblématique de suppression des données et de loyauté de la communication commerciale : facturer aux utilisateurs l'effacement de données que l'entreprise conservait discrètement a entraîné une action réglementaire directe et préfiguré les exigences ultérieures de « droit à l'effacement » de régimes tels que le RGPD.