Violation de données Quora

Le 3 décembre 2018, la plateforme de questions-réponses Quora a révélé qu'un tiers non autorisé avait accédé à ses systèmes et compromis les données d'environ 100 millions d'utilisateurs. Cette violation, découverte trois jours plus tôt, a constitué l'un des incidents de données grand public les plus importants de l'année.

Ce qui s'est passé

Quora a détecté l'intrusion le 30 novembre 2018, lorsqu'elle a découvert que « certaines données d'utilisateurs avaient été compromises par un tiers ayant obtenu un accès non autorisé à l'un de nos systèmes », selon les termes du PDG Adam D'Angelo. L'entreprise n'a pas détaillé publiquement le vecteur d'attaque exact mais a qualifié cet accès de malveillant.

Dès la découverte, Quora a lancé une enquête avec l'aide d'une grande société d'investigation numérique, a alerté les forces de l'ordre et a entamé la notification des utilisateurs concernés. Par précaution, l'entreprise a déconnecté tous les utilisateurs potentiellement concernés et invalidé les mots de passe des comptes utilisant une authentification par mot de passe.

Ce qui a été exposé

Les données compromises se répartissaient en trois catégories :

• Informations de compte — noms, adresses e-mail, mots de passe (hachés avec un sel propre à chaque utilisateur) et données importées depuis des réseaux liés lorsque les utilisateurs l'avaient autorisé, telles que contacts, informations démographiques et centres d'intérêt.
• Contenus et actions publics — questions, réponses, commentaires et votes positifs déjà visibles sur la plateforme.
• Contenus et actions non publics — demandes de réponses, votes négatifs et messages directs (une fonctionnalité utilisée par un nombre limité d'utilisateurs).

Élément crucial, les questions et réponses publiées de manière anonyme n'ont pas été affectées, car Quora ne conserve pas l'identité des utilisateurs qui publient du contenu anonyme. L'entreprise a également précisé qu'elle ne collecte pas de données financières sensibles telles que les numéros de carte bancaire ou de sécurité sociale, réduisant ainsi le risque direct d'usurpation d'identité.

Impact

• Environ 100 millions d'utilisateurs ont vu leurs données de compte exposées.
• Les mots de passe étant salés et hachés, le risque immédiat de craquage des identifiants était plus faible que dans les violations en clair — mais la réutilisation des mots de passe restait préoccupante, et Quora a invité les utilisateurs à changer leurs identifiants sur tout autre site où ils les avaient réutilisés.
• Quora a invalidé les jetons d'accès des comptes tiers liés (comme les connexions Google et Facebook) à titre de mesure de confinement.

Pourquoi c'est important

La violation Quora est un exemple type de réponse proportionnée à un incident : divulgation rapide quelques jours après la découverte, invalidation massive des sessions, catégorisation transparente des données affectées ou non, et conseils clairs sur la réutilisation des mots de passe. Son stockage des mots de passe salés et hachés a sensiblement limité les dommages en aval — contrairement aux violations contemporaines ayant exposé des identifiants en clair ou faiblement hachés. L'incident a rappelé que même les plateformes détenant des données « non sensibles » (sans identifiants de paiement ou gouvernementaux) demeurent des cibles attrayantes, puisque les identifiants réutilisés et les jetons de comptes liés conservent de la valeur sur l'ensemble du web.