Fuite de données Evite (2013)

Le 11 août 2013, le site de planification sociale Evite — utilisé pour envoyer et gérer des invitations en ligne — conservait des données clients dans une archive qui allait, six ans plus tard, devenir l'une des plus importantes fuites grand public révélées via Have I Been Pwned. En avril 2019, Evite a découvert qu'un tiers non autorisé avait accédé à une archive de base de données inactive datant de 2013, exposant environ 101 millions de comptes uniques.

Ce qui s'est passé

Selon la divulgation d'Evite, une partie non autorisée a acquis un fichier de stockage inactif le 22 février 2019. Le fichier contenait des données utilisateurs anciennes de 2013 et avant — des informations issues de comptes qui n'étaient plus actifs mais n'avaient jamais été purgés. Evite a identifié cet accès non autorisé lors d'une enquête interne en avril 2019 et a publié un avis d'incident le mois suivant.

La fuite a attiré une attention plus large lorsqu'un acteur malveillant a commencé à proposer une base de données Evite à la vente sur une place de marché du dark web. Les premières estimations situaient l'exposition autour de 10 millions d'enregistrements, mais en juillet 2019, un jeu de données bien plus vaste — 100 985 047 adresses e-mail uniques — a été chargé dans Have I Been Pwned, révélant l'ampleur réelle.

Impact

• Environ 101 millions d'adresses e-mail uniques ont été exposées, appartenant pour la plupart à des destinataires d'invitations plutôt qu'à des titulaires de comptes enregistrés.
• Les catégories de données compromises comprenaient noms, adresses e-mail, numéros de téléphone, adresses physiques, dates de naissance, genres et mots de passe.
• Fait critique, les mots de passe étaient stockés en clair, ce qui rendait inutile tout déchiffrement — un risque sérieux pour quiconque réutilisait ces identifiants ailleurs.
• Evite a indiqué qu'aucune information financière ni numéro de sécurité sociale n'était concerné.

Pourquoi c'est important

La fuite Evite est un cas d'école du risque lié aux données héritées oubliées. Les informations exposées résidaient dans une archive inactive qui ne servait à aucune fin opérationnelle, mais demeurait accessible et non chiffrée bien après la mise en sommeil des comptes correspondants. Si ces enregistrements avaient été supprimés ou correctement sécurisés dans le cadre d'une politique de conservation des données, l'incident aurait été bien plus limité — voire impossible.

Elle souligne aussi pourquoi le stockage de mots de passe en clair reste indéfendable : la compromission d'une seule archive a livré aux attaquants des identifiants directement exploitables pour 101 millions d'utilisateurs, dont beaucoup réutilisaient probablement ces mots de passe sur d'autres services. Ce cas est fréquemment cité aux côtés des exigences de minimisation et de conservation des données désormais inscrites dans des régimes de confidentialité comme le RGPD et le CCPA californien.