Fuite de données chez ai.type

Le jeu de données du clavier virtuel ai.type contenait des contacts de carnets d’adresses, les applications installées, les noms des réseaux mobiles, des dates de naissance, des informations sur les appareils, des adresses e-mail, des genres, des localisations géographiques, des numéros IMEI et IMSI, des adresses IP, des noms, des numéros de téléphone, des photos de profil et des profils de réseaux sociaux. Les données des carnets d’adresses peuvent concerner aussi bien les utilisateurs de l’application que les tiers enregistrés dans leurs contacts. Les mots de passe, les cartes de paiement et les informations financières ne font pas partie des catégories de données dont l’exposition est confirmée. Les chercheurs ont signalé la présence de champs IMEI et de coordonnées géographiques, ce que l’entreprise a contesté; leur exactitude et leur exhaustivité ne doivent pas être tenues pour acquises pour chaque utilisateur. Les noms, numéros de téléphone, photos et profils de réseaux sociaux peuvent rendre les escroqueries personnalisées plus convaincantes. Les informations sur l’appareil, le réseau, l’adresse IP et les applications installées peuvent révéler l’environnement technique de la personne ciblée et aider un attaquant à choisir un service pertinent ou une faille logicielle à exploiter.

Le 5 décembre 2017, des chercheurs ont signalé qu’une base de données d’ai.type d’environ 577GB était accessible depuis Internet sans authentification. Leur analyse faisait état de 31 293 959 lignes d’enregistrement de clients, de 6 435 813 enregistrements de carnets d’adresses contenant plus de 373 millions d’entrées de contacts, ainsi que de 753 456 lignes dans un dossier plus ancien. Ces chiffres correspondent à des niveaux de détail différents et ne doivent pas être additionnés pour calculer un nombre de personnes. Le chiffre de 20 580 060 indiqué sur cette page est le décompte de référence des adresses e-mail uniques; les contacts des carnets d’adresses ne sont pas ajoutés au total global des comptes. L’entreprise a déclaré avoir mis hors service la base de données secondaire, mais la durée de l’exposition et les éventuels téléchargements par des tiers restent inconnus. Les éléments disponibles indiquent un espace de stockage public mal configuré plutôt qu’une intrusion ayant contourné un mot de passe. La possibilité d’un accès non autorisé en fait néanmoins une violation de données pour les utilisateurs.

Les personnes qui ont installé ai.type sur Android ou iOS avant la découverte de 2017 et autorisé l’accès à leurs contacts, aux données de leur appareil ou à leurs comptes de réseaux sociaux constituent le principal groupe à risque. Une personne qui n’a jamais installé l’application peut tout de même être indirectement concernée si un utilisateur d’ai.type a enregistré son nom et son numéro de téléphone. La présence d’une adresse e-mail, d’un numéro de téléphone, d’une date de naissance, d’une photo et d’un profil de réseau social dans un même enregistrement peut renforcer la crédibilité des appels de faux services d’assistance, des escroqueries à la récupération de comptes et de l’hameçonnage ciblé. Les informations IMSI ou réseau peuvent faciliter l’usurpation de l’identité d’un opérateur mobile, même si la présence des champs contestés ne doit pas être supposée dans chaque enregistrement. Les informations sur les applications installées et le modèle de l’appareil peuvent aider à sélectionner les services à cibler. Une correspondance avec une adresse e-mail ne signifie pas que toutes les catégories de données étaient renseignées pour cette personne. Le risque concret dépend de l’exhaustivité de l’enregistrement et du fait que les informations exposées soient encore à jour aujourd’hui.

Si vous avez utilisé ai.type, vérifiez immédiatement les autorisations de l’application sur votre appareil, les comptes connectés et les sessions que vous ne reconnaissez pas. Supprimez l’application si vous n’en avez plus besoin; sinon, maintenez à jour la version provenant de la boutique officielle et limitez les autorisations d’accès aux contacts, à la localisation et aux autres données. Activez l’authentification multifacteur sur votre compte de messagerie principal et vos comptes de réseaux sociaux, vérifiez les adresses et numéros de téléphone de récupération, et fermez les sessions que vous ne reconnaissez pas. L’exposition des mots de passe n’étant pas confirmée, remplacez les mots de passe faibles ou réutilisés ainsi que ceux des comptes présentant des activités de connexion ou de réinitialisation suspectes, plutôt que de supposer que tous les mots de passe ont fuité. Ajoutez un code PIN à votre compte auprès de votre opérateur mobile pour réduire les risques de portage de numéro et de détournement de carte SIM. Si une personne qui vous appelle connaît votre appareil, votre numéro de téléphone ou votre profil de réseau social, contactez l’organisation par un canal que vous aurez trouvé de manière indépendante. Ne communiquez jamais un IMEI, un IMSI ou un code à usage unique en réponse à un appel ou à un message non sollicité.

Les claviers virtuels interagissent étroitement avec le contenu saisi et les fonctions essentielles de l’appareil : renseignez-vous donc sur le développeur et examinez attentivement les autorisations demandées ainsi que les déclarations concernant le traitement des données. Demandez-vous pourquoi un clavier a besoin de vos contacts, de votre localisation ou d’un identifiant persistant de l’appareil; refusez les accès inutiles et supprimez les claviers inutilisés dans les paramètres du système. Maintenez le système d’exploitation et les applications à jour, installez uniquement des logiciels provenant de boutiques officielles et vérifiez les autorisations après les mises à jour majeures. Des mots de passe uniques, associés à une application d’authentification ou à une clé de sécurité, limitent les attaques exploitant les procédures de récupération de compte à partir des données personnelles exposées, même si les mots de passe ne figuraient pas dans ces données. Limitez la visibilité de votre date de naissance et de votre numéro de téléphone sur vos profils de réseaux sociaux, et évitez d’utiliser des informations publiques comme réponses aux questions de récupération. Les déclarations actuelles relatives à la confidentialité ne changent pas rétroactivement l’exposition vérifiée en 2017. La surveillance des fuites de données et les alertes de compte peuvent vous avertir si d’anciennes données d’identité ou de contact sont réutilisées des années plus tard.

Vérifiez votre adresse e-mail avec LeakData pour savoir si elle apparaît dans la fuite d’ai.type ou dans une autre fuite vérifiée. Une correspondance signifie que l’adresse figure parmi les 20 580 060 comptes de messagerie du décompte de référence; elle ne signifie pas que toutes les lignes brutes d’enregistrement de clients ou les centaines de millions d’entrées de contacts vous concernent. Elle ne prouve pas non plus que chaque identifiant d’appareil ou contact téléphonique a été exposé. Appuyez-vous sur la date et les catégories de données pour donner la priorité aux autorisations de votre appareil, à la sécurité de votre messagerie, à vos comptes de réseaux sociaux et à la protection de votre compte auprès de votre opérateur mobile. Ne saisissez jamais de mot de passe, de numéro de téléphone, d’IMEI ou d’IMSI dans le champ de recherche; une adresse e-mail suffit. Une surveillance continue peut signaler des jeux de données publiés ultérieurement. Maintenez vos paramètres de récupération à jour, car les anciens liens entre adresses e-mail, numéros de téléphone et profils de réseaux sociaux peuvent rester exploitables pendant des années.