Fuite de données chez Audi

Les types de données confirmés dans la fuite Audi comprennent les dates de naissance, les informations relatives aux permis de conduire, les adresses e-mail, les noms, les numéros de téléphone, les adresses postales, les numéros de sécurité sociale et les caractéristiques des véhicules. Ces dernières peuvent inclure des éléments d’identification tels que la marque, le modèle, l’année, la couleur et les équipements des véhicules achetés, loués ou sur lesquels des renseignements ont été demandés. Si ces données peuvent, à elles seules, aider à identifier un utilisateur, leur combinaison permet de construire des scénarios de fraude plus crédibles. Un attaquant pourrait, par exemple, utiliser la marque du véhicule, les coordonnées et l’adresse d’une personne pour préparer des messages concernant un faux rendez-vous d’entretien, un renouvellement de garantie, une demande de prêt ou une promotion d’un concessionnaire.

Dans cette fiche, les mots de passe, les données de cartes de paiement et les clés de session actives ne font pas partie des types de données vérifiés. Les principaux risques pour les utilisateurs concernent donc davantage l’authentification, l’ingénierie sociale et le ciblage à partir de l’adresse postale que la prise de contrôle de comptes. Il reste néanmoins possible d’associer l’adresse e-mail à des mots de passe provenant d’autres fuites. Ainsi, même si la fuite Audi n’est pas une fuite directe de mots de passe, les personnes qui utilisent la même adresse e-mail doivent choisir des mots de passe robustes et uniques pour leurs autres comptes. Le risque est plus élevé lorsque le numéro de sécurité sociale ou les informations du permis de conduire d’une personne sont concernés : ces données peuvent être détournées pour ouvrir de nouveaux comptes, déposer des demandes de crédit ou effectuer des démarches de vérification d’identité.

Cette fuite de données est associée à la marque Audi, mais elle ne doit pas être interprétée comme une compromission générale des systèmes touchant tous les utilisateurs Audi dans le monde. Les éléments disponibles concernent principalement des dossiers de clients et de prospects, ainsi que des données de vente et de marketing aux États-Unis et au Canada. Pour la majorité des personnes concernées, les données portent sur leurs coordonnées et leur intérêt pour des véhicules. Pour un groupe plus restreint, elles comprennent des champs sensibles nécessaires aux procédures d’authentification et d’évaluation de l’éligibilité à un financement. Il convient donc de distinguer, dans la présentation de la fuite, le vaste ensemble de coordonnées du sous-ensemble plus limité de données sensibles.

Le chiffre de 2 743 539 indiqué dans la fiche LeakData correspond au décompte des adresses e-mail uniques. Le nombre plus élevé de personnes mentionné dans les notifications de l’entreprise peut inclure des enregistrements sans adresse e-mail ou plusieurs enregistrements appartenant à une même personne. Ces chiffres ne mesurent donc pas la même chose. Les types de données inclus dans la fiche se limitent aux champs vérifiables; les données de cartes de paiement, les mots de passe des utilisateurs, les comptes bancaires, les informations de santé ou l’historique complet de propriété des véhicules n’y ont pas été ajoutés. Cette approche permet d’expliquer clairement le risque réel à l’utilisateur sans provoquer de panique inutile.

Les personnes les plus exposées sont celles qui ont communiqué leurs informations personnelles dans le cadre de démarches liées à Audi ou Volkswagen : vente, location, financement, essai, entretien, garantie ou échanges avec un concessionnaire. Il n’est pas nécessaire de posséder un véhicule pour être concerné. Les personnes qui se sont intéressées à un véhicule, ont reçu un devis, contacté un concessionnaire ou rempli un formulaire marketing peuvent également entrer dans ce périmètre. Lorsque l’adresse e-mail, le numéro de téléphone et l’adresse postale sont réunis, les attaquants peuvent envoyer des messages plus convaincants. L’ajout d’informations sur le véhicule facilite encore l’imitation d’un message provenant d’un véritable concessionnaire, d’un service d’entretien ou d’un interlocuteur chargé du financement.

Pour les utilisateurs concernés, le risque est plus sérieux si leur numéro de permis de conduire, leur date de naissance ou leur numéro de sécurité sociale sont impliqués. Ces personnes doivent être particulièrement attentives au suivi de leur crédit, aux alertes de vérification d’identité et aux ouvertures de nouveaux comptes. L’association d’une adresse postale et d’informations sur un véhicule peut aussi accroître les risques de fraude ciblée ou liés à la localisation pour les propriétaires de véhicules de grande valeur. Pour les salariés utilisant une adresse e-mail professionnelle, la menace peut atteindre la messagerie de travail par le biais de fausses offres présentées comme émanant de l’entreprise, ou de messages concernant la gestion de flotte, le renouvellement de véhicules ou le financement.

Les utilisateurs dont l’adresse e-mail figure dans cette fuite doivent d’abord examiner attentivement les messages inattendus concernant Audi, les concessionnaires, l’entretien, les garanties, le crédit, l’assurance ou le renouvellement d’un véhicule. Plutôt que de cliquer sur les liens contenus dans ces messages, ils doivent effectuer leurs démarches en saisissant directement dans leur navigateur l’adresse officielle connue de l’organisme concerné. Le simple fait qu’un interlocuteur au téléphone connaisse leur nom, le modèle de leur véhicule, leur adresse ou leur adresse e-mail ne prouve pas qu’il est digne de confiance : ces informations peuvent provenir des données divulguées. Aucune démarche nécessitant des informations d’identité, de permis de conduire ou un numéro de sécurité sociale ne doit être effectuée dans la précipitation.

Les utilisateurs doivent protéger leur compte de messagerie avec un mot de passe robuste et unique, activer l’authentification à deux facteurs et cesser de réutiliser leurs mots de passe sur les autres comptes importants associés à la même adresse e-mail. Bien qu’aucune fuite de mots de passe n’ait été confirmée dans cet incident, le rapprochement d’une adresse e-mail avec des données issues d’autres fuites est une méthode d’attaque courante. Les utilisateurs dont les données d’identification sensibles ont pu être touchées doivent consulter régulièrement leurs rapports de crédit, les notifications de nouvelles demandes et les alertes de vérification d’identité. S’ils détectent une demande de crédit, un changement d’adresse, une demande de financement automobile ou une opération d’entretien suspects, ils doivent contacter directement l’organisme concerné.

La fuite de données Audi montre que les données de prospection et de marketing du secteur automobile doivent être protégées avec autant de soin que les informations de compte. Pour les utilisateurs, la meilleure approche à long terme consiste à employer un mot de passe distinct pour chaque marque et chaque service, à activer systématiquement l’authentification à deux facteurs sur les comptes importants et à rester prudents face aux messages liés à des opérations de grande valeur, notamment les véhicules, le financement et l’assurance. Il faut également garder à l’esprit que les anciens enregistrements peuvent présenter un risque : au fil des années, une même adresse e-mail peut avoir été utilisée pour de nombreuses demandes, offres et formulaires de concessionnaires.

Du côté des entreprises, les réseaux de concessionnaires, les prestataires marketing, les outils de gestion de la relation client et les accords de partage de données doivent faire l’objet d’audits de sécurité réguliers. Les données clients détenues dans des environnements tiers ne doivent pas être conservées plus longtemps que nécessaire; leur accès doit être restreint et les champs d’identification sensibles doivent être séparés autant que possible. Pour les utilisateurs, la leçon pratique de cet incident est de vérifier les messages par un canal indépendant, même lorsqu’ils contiennent des détails personnels concernant un outil ou une question financière. Lors d’un échange avec une organisation légitime, le numéro de transaction ou les détails de la demande doivent être confirmés auprès de son service client officiel.

La recherche dans les données de la fuite Audi sur LeakData vise à indiquer si une adresse e-mail figure dans cette fuite vérifiée du secteur automobile. Une correspondance ne signifie pas que toutes les données sensibles de la personne ont été exposées; elle indique toutefois que l’adresse e-mail concernée apparaît dans des dossiers de clients ou de prospects liés à Audi. Le résultat doit donc être considéré comme un avertissement, en particulier face aux fraudes liées à la possession d’un véhicule, aux échanges avec les concessionnaires et aux démarches de financement.

Les utilisateurs pour lesquels une correspondance a été trouvée ne doivent pas remettre à plus tard les vérifications de sécurité de leurs comptes. Ils doivent renforcer la protection de leur messagerie, activer les notifications sur leurs comptes financiers importants et vérifier attentivement les communications demandant des informations personnelles. L’absence de correspondance ne garantit pas que la personne n’est pas concernée par d’autres fuites de données du secteur automobile, de concessionnaires ou de prestataires marketing; elle signifie seulement qu’aucune correspondance n’a été trouvée dans cette fiche Audi. Cette fiche a été limitée aux types de données vérifiables afin d’éviter l’ajout de champs erronés. Le périmètre de l’incident a été expliqué en tenant compte de la différence entre le nombre d’adresses e-mail uniques et les chiffres plus larges communiqués par l’entreprise.