Fuite de données Poshmark (2018)

En mai 2018, la place de marché de commerce social américaine Poshmark a subi une fuite de données ayant exposé environ 36,4 millions de comptes utilisateurs. L'entreprise n'a confirmé publiquement l'incident que le 1er août 2019, après que la base volée a commencé à circuler sur des marchés clandestins.

Ce qui s'est passé

Poshmark exploite une place de marché entre particuliers pour l'achat et la vente de vêtements et d'accessoires. Aux alentours du 16 mai 2018, un tiers non autorisé a obtenu une copie de la base de données utilisateurs de l'entreprise. Poshmark n'a pas détaillé publiquement le vecteur d'intrusion, et aucun acteur malveillant n'a été formellement identifié. L'incident n'est devenu visible que plus d'un an plus tard, lorsque le jeu de données a été mis en vente — pour environ 750 dollars selon les rapports — puis partagé avec des services de suivi des fuites.

Le 1er août 2019, Poshmark a publié un avis de sécurité reconnaissant que « certaines informations » avaient été acquises par un tiers non autorisé. Le même jeu de données a été ajouté à Have I Been Pwned le 2 septembre 2019, où il a été enregistré à 36 395 491 comptes.

Données exposées

Les enregistrements compromis comprenaient :

• Adresses e-mail
• Noms et identifiants
• Genre et données de ville/localisation
• Préférences de taille de vêtements
• Mots de passe stockés sous forme de hachages bcrypt (salés par utilisateur)

Poshmark a indiqué qu'aucune information financière ni adresse postale n'avait été compromise. Comme les mots de passe étaient protégés par bcrypt — une fonction de hachage volontairement lente et salée — ils n'étaient pas immédiatement exploitables. Toutefois, bcrypt n'est pas inviolable : des mots de passe faibles ou courants peuvent encore être cassés hors ligne. Quelques semaines après la circulation du jeu de données, des chercheurs en sécurité ont signalé qu'environ un million de mots de passe Poshmark avaient été déchiffrés et étaient mis en vente.

Réponse

Poshmark a invité tous les utilisateurs à réinitialiser leur mot de passe par précaution. Le 9 septembre 2019, l'entreprise a renforcé cette mesure en imposant une réinitialisation du mot de passe à la connexion pour tout compte n'ayant pas été modifié depuis la divulgation du 1er août. L'entreprise a souligné son recours à bcrypt comme mesure d'atténuation et n'a signalé aucune preuve d'activité frauduleuse directement liée aux données exposées.

Pourquoi c'est important

La fuite Poshmark est un exemple classique du long délai entre la compromission et la divulgation qui a caractérisé de nombreux incidents du milieu des années 2010 : des données dérobées en 2018 ne sont devenues publiques qu'en 2019. Elle illustre aussi à la fois la valeur et les limites du hachage de mots de passe bcrypt — un hachage robuste a fait gagner du temps et atténué l'impact immédiat, mais n'a pas empêché des mots de passe faibles d'être finalement cassés et revendus. Pour les utilisateurs ayant réutilisé leur mot de passe Poshmark ailleurs, le credential stuffing est resté le principal risque en aval.