Liste de données utilisée pour le spam: Acuity

Les catégories de données dont la présence a été vérifiée sont les dates de naissance, les adresses e-mail, les genres, les adresses IP, les noms, les numéros de téléphone, les adresses postales et les civilités. Le fichier source présentait une structure particulièrement vaste et bien organisée, avec 414 colonnes, mais seules les huit catégories explicitement vérifiées sont présentées publiquement. Les mots de passe, les cartes de paiement et les numéros de documents d’identité ne font pas partie des catégories vérifiées et ne doivent pas être considérés comme exposés. L’association d’un nom, d’une date de naissance, d’un numéro de téléphone, d’une adresse e-mail et d’une adresse postale peut faciliter l’hameçonnage ciblé, les faux appels d’assistance, la fraude par courrier et les tentatives de déduire des réponses aux questions de vérification d’identité. La présence d’un champ ne signifie pas qu’il était renseigné, à jour ou correctement rattaché à la même personne dans chaque ligne. Comme il s’agit d’un jeu de données agrégées sans source identifiée, une correspondance ne prouve pas qu’une personne était cliente d’une quelconque entreprise nommée Acuity.

La date du 18 juin 2020 a été retenue à partir du nom de fichier « ACUITY_MASTER_18062020.csv »; elle ne correspond pas à une date confirmée d’accès au système ou d’extraction. Ce jeu de données d’environ 437 GB a ensuite été largement diffusé et a fait l’objet d’une analyse détaillée visant à en déterminer l’origine en 2023. Le fichier contenait 21 873 706 lignes d’adresses e-mail, correspondant à 14 055 729 adresses uniques : le nombre total d’enregistrements et le nombre d’adresses uniques concernées sont donc deux mesures distinctes. La mise en forme très standardisée, la grande diversité des valeurs du champ « datasource » et le fait que presque toutes les adresses figuraient déjà dans d’autres collections issues de fuites de données ou de spam laissent penser que le fichier pourrait avoir été constitué par un agrégateur de données, plutôt que provenir d’une table brute d’utilisateurs d’un seul service. Cette possibilité ne permet pas d’établir l’implication d’une organisation précise. Aucune des entreprises nommées Acuity dans les secteurs de la santé, de l’assurance, des logiciels, de l’éclairage ou de la planification n’a pu être identifiée avec certitude comme étant la source; le jeu de données ne doit donc pas leur être attribué.

Les personnes à risque sont celles dont l’adresse e-mail figure dans le jeu de données et dont la ligne peut associer un nom, un numéro de téléphone, une adresse, une date de naissance, un genre, une civilité ou des informations liées à une adresse IP. Elles n’ont pas nécessairement eu de relation avec une entreprise nommée Acuity; les données peuvent avoir été combinées à partir de listes marketing, d’anciens services ou de collections déjà en circulation. Les employés qui utilisent une adresse e-mail professionnelle peuvent recevoir des messages plus convaincants concernant des factures, des livraisons, les ressources humaines ou l’assistance lorsque des informations téléphoniques et postales sont disponibles. Les particuliers doivent se méfier des faux messages bancaires, de livraison, d’assurance ou d’administration publique qui associent un nom, une date de naissance et une adresse. Une mise en forme soignée ne garantit pas l’exactitude des données : elles peuvent contenir d’anciennes adresses, des numéros de téléphone réattribués et des associations erronées entre personnes et informations. Les résultats doivent donc être interprétés en tenant compte à la fois des risques de sécurité liés à l’exposition des données et du risque d’association erronée.

Aucun champ de mot de passe n’a été vérifié dans cette fiche; une correspondance avec Acuity ne vous impose donc pas, à elle seule, de réinitialiser votre mot de passe en première réaction. Renforcez votre vigilance face aux e-mails, aux appels et aux courriers inattendus. Ne présumez pas qu’un expéditeur est légitime simplement parce qu’il connaît un nom, une date de naissance ou une adresse; ces renseignements peuvent provenir de données agrégées. Vérifiez les demandes concernant un compte, un paiement, une livraison ou votre identité en ouvrant vous-même le site officiel de l’organisation, plutôt qu’en suivant un lien reçu dans un message. Ne communiquez jamais de code à usage unique, de réponse à une question de sécurité ni d’image d’un document d’identité. Activez l’authentification multifacteur sur votre messagerie, examinez les sessions suspectes et bloquez les appels ou messages indésirables. Si vous recevez à votre adresse des avis inattendus concernant un crédit, un abonnement ou un compte, contactez l’organisation mentionnée par un canal indépendant. Envisagez les démarches de suppression et de rectification auprès des courtiers en données pour les informations inexactes ou périmées.

Se protéger contre les collections de données agrégées exige une approche plus large que la sécurisation d’un seul compte. Séparer vos adresses e-mail personnelles et professionnelles, utiliser des alias lorsque cela convient dans les formulaires publics et laisser vides les champs de profil inutiles rendent plus difficile le rapprochement d’enregistrements provenant de différentes sources. Utilisez l’authentification multifacteur sur votre messagerie et vos comptes importants, conservez des mots de passe uniques dans un gestionnaire de mots de passe et vérifiez régulièrement vos informations de récupération. Considérez les numéros de téléphone, les dates de naissance et les adresses postales comme des identifiants stables, et non comme des mots de passe secrets; demandez aux services d’assistance de ne pas accepter ces seules informations comme preuve d’identité. Consultez régulièrement les possibilités de retrait des bases des courtiers en données et des listes marketing. Envisagez une surveillance de votre crédit ou de votre identité lorsqu’elle est disponible et proportionnée à votre niveau de risque. Surveiller l’apparition de nouvelles correspondances dans les fuites de données et rester vigilant face à l’hameçonnage permettent de réduire les conséquences lorsque d’anciennes informations sont reconditionnées et redistribuées des années plus tard.

Une correspondance avec Acuity sur LeakData signifie que l’adresse e-mail figure dans ce jeu de données sans source identifiée; elle ne montre pas que vous étiez client d’une entreprise Acuity en particulier ni qu’une telle entreprise a perdu vos données. Elle ne prouve pas non plus que les huit catégories de données étaient toutes renseignées ou exactes dans votre ligne. Considérez ce résultat comme un avertissement indiquant que des coordonnées ont pu circuler dans des listes marketing ou de spam. Ne saisissez jamais un véritable mot de passe, une date de naissance ou une adresse postale dans un champ de recherche de fuites de données. L’absence de correspondance ne garantit pas de manière absolue que vos informations personnelles ne figurent pas dans d’autres collections. Surveillez les alertes de sécurité de votre messagerie, vérifiez les messages suspects par des canaux indépendants et gardez l’authentification multifacteur activée. La bonne démarche consiste à gérer l’exposition des données et le risque de fraude ciblée, sans mettre en cause une organisation dont le rôle n’a pas été vérifié.