Fuite de données Houzz (2018)

À la mi-2018, la plateforme de rénovation et de design d'intérieur Houzz a vu un fichier contenant des données utilisateurs récupéré par un tiers non autorisé. L'entreprise ne l'a appris qu'fin décembre 2018 et l'a divulgué publiquement début 2019. Environ 49 millions de comptes ont été touchés.

Ce qui s'est passé

Houzz exploite un site web et des applications de rénovation et de décoration d'intérieur, mettant en relation des particuliers et des professionnels. Fin décembre 2018, l'entreprise a été informée qu'un fichier contenant une partie de ses données utilisateurs se trouvait entre les mains de tiers. Houzz a fait appel à une société de criminalistique pour enquêter, mais n'a pas pu déterminer précisément comment les données avaient quitté son environnement — elle a déclaré publiquement qu'il n'était pas connu si les données avaient été dérobées via un système piraté, une base ou un fichier non sécurisé, ou par un employé. La fuite est datée d'environ le 23 mai 2018 dans les registres de suivi des fuites.

L'entreprise a commencé à notifier les utilisateurs et à réinitialiser les mots de passe vers le 31 janvier 2019, et a publié une mise à jour de sécurité officielle le 3 février 2019.

Données exposées

Houzz a réparti les informations exposées en trois catégories :

• Données de profil publiquement visibles — noms, localisations et toute description que les utilisateurs avaient choisi de rendre publique.
• Informations internes de compte — adresse e-mail, identifiant utilisateur, anciens identifiants Houzz, hachages de mots de passe salés à sens unique (salés de manière unique par utilisateur), adresse IP, ainsi que la ville et le code postal déduits de l'adresse IP.
• Identifiants de connexion sociale — pour les utilisateurs s'étant connectés via Facebook, leur identifiant Facebook public.

Houzz a explicitement confirmé qu'aucune information de carte de paiement, coordonnée bancaire ni numéro de sécurité sociale ne faisait partie de la fuite.

Réponse

La réponse de Houzz a été largement citée comme un exemple relativement transparent pour un incident de l'époque 2018 : l'entreprise a notifié de manière proactive les membres concernés, imposé des réinitialisations de mots de passe et fourni des conseils sur l'hygiène des mots de passe et la vigilance face au phishing. Le salage unique par utilisateur des hachages de mots de passe signifiait que les identifiants volés ne pouvaient pas être inversés en masse de façon triviale ; néanmoins, comme pour toute fuite impliquant des hachages de mots de passe, les mots de passe faibles restaient déchiffrables hors ligne.

Pourquoi c'est important

La fuite Houzz illustre deux thèmes récurrents. D'abord, le délai de détection : des données vraisemblablement dérobées à la mi-2018 n'ont été découvertes que lorsqu'un tiers les a fait surgir des mois plus tard, laissant Houzz incapable de reconstituer entièrement l'intrusion. Ensuite, elle est devenue un exemple fréquemment cité de divulgation gérée raisonnablement — notification rapide des utilisateurs et réinitialisation des mots de passe — même lorsque le vecteur d'attaque exact n'a pu être établi. Pour les utilisateurs concernés, les principaux risques en aval étaient le credential stuffing (pour les mots de passe réutilisés) et le phishing ciblé exploitant les données de profil et de localisation divulguées.