Fuite de données chez Bhinneka

Les types de données confirmés dans la fuite de Bhinneka sont les dates de naissance, les adresses e-mail, le genre, les noms, les mots de passe, les numéros de téléphone et les adresses postales. La présence conjointe de ces champs dans un contexte de commerce électronique crée un risque élevé de fraude. Un attaquant peut utiliser un nom, une adresse et un numéro de téléphone réels pour préparer un faux message concernant une expédition, une extension de garantie, une vérification de commande, un remboursement ou le service client. La date de naissance et le genre peuvent également donner au message une apparence plus personnalisée.

Même si le champ du mot de passe est au format haché, le risque augmente lorsque l’utilisateur a utilisé le même mot de passe sur d’autres services. Des combinaisons d’adresses e-mail et de mots de passe peuvent être testées sur différents sites de commerce électronique, comptes de messagerie, comptes de réseaux sociaux ou services de paiement. La disponibilité d’une adresse postale et d’un numéro de téléphone a des conséquences non seulement pour la sécurité des comptes en ligne, mais aussi pour les escroqueries impliquant des livraisons réelles ou de faux centres d’appels. Une correspondance dans les données de Bhinneka ne doit donc pas être considérée comme une simple trace laissée sur un ancien site de commerce électronique.

La fiche Bhinneka sur LeakData recense 1 274 340 comptes, et la date de l’incident est enregistrée comme étant le 27 janvier 2020. Le jeu de données est associé aux données clients de Bhinneka.com, une plateforme basée en Indonésie. Le périmètre vérifié comprend les champs suivants : date de naissance, adresse e-mail, genre, nom, mot de passe, numéro de téléphone et adresse postale. Cette fiche se limite aux principaux champs vérifiés, sans y intégrer d’affirmations de portée plus large.

Cette fiche ne comprend pas les numéros de carte de paiement, les comptes bancaires, les documents officiels d’identité, le contenu complet des commandes, les informations sur les employés ou les liens vers des profils de réseaux sociaux parmi les catégories de données vérifiées. Même si certains articles de presse ou commentaires de sources secondaires peuvent mentionner d’autres champs, la fiche présentée à l’utilisateur se limite aux champs vérifiables. Néanmoins, la présence d’une adresse, d’un numéro de téléphone, d’une date de naissance et d’informations de mot de passe dans un même incident représente un risque concret et sérieux pour les utilisateurs de sites de commerce électronique.

Les personnes les plus exposées sont celles qui ont ouvert un compte, effectué des achats ou participé à des démarches de commande ou de service client liées à des produits technologiques sur Bhinneka.com. La fuite de leur adresse de livraison et de leur numéro de téléphone rend les clients de sites de commerce électronique plus vulnérables aux faux messages de livraison et aux appels de faux centres d’appels. Les produits électroniques coûteux, les garanties, les demandes de prise en charge et les procédures de retour offrent notamment des scénarios crédibles pouvant servir à des fraudes.

Le risque peut être plus élevé pour les utilisateurs inscrits avec une adresse e-mail professionnelle ou pour les personnes effectuant des achats pour une entreprise. Un attaquant pourrait exploiter le contexte d’un achat de produits technologiques pour envoyer une fausse facture, un faux devis ou un faux message de modification de livraison ou de confirmation de paiement. Si le même mot de passe est utilisé pour d’autres comptes professionnels ou personnels, le risque peut directement se concrétiser par une prise de contrôle de compte. Comme l’adresse et le numéro de téléphone peuvent rester inchangés pendant longtemps, les conséquences en matière de fraude peuvent perdurer même si l’incident est ancien.

Les utilisateurs pour lesquels une correspondance apparaît dans la fiche Bhinneka devraient d’abord vérifier le mot de passe de leur compte Bhinneka et déterminer s’ils le réutilisent sur d’autres comptes. Si le même mot de passe, ou un mot de passe similaire, est utilisé pour des comptes de messagerie, de réseaux sociaux, de commerce électronique, de paiement ou des comptes professionnels, il doit être changé immédiatement. Les nouveaux mots de passe doivent être uniques, et l’authentification à deux facteurs doit être activée sur les comptes lorsque cela est possible.

Les utilisateurs doivent également se méfier des messages inattendus concernant une expédition, une garantie, un retour, une prise en charge ou une vérification de commande. La présence d’un nom, d’une adresse, d’un numéro de téléphone ou d’une catégorie de produits réels dans un message ne prouve pas que celui-ci est fiable. Plutôt que de cliquer sur des liens, il convient de se connecter à partir d’une adresse web connue, de ne pas donner suite aux demandes de paiement ou de coordonnées bancaires et de contacter le service client par un canal indépendant. Toute modification suspecte de livraison ou demande de frais doit être vérifiée avant d’entreprendre une démarche.

L’incident Bhinneka montre que les données clients de base conservées dans les comptes de commerce électronique peuvent présenter un risque de fraude durable. Les utilisateurs devraient employer des mots de passe uniques sur les sites marchands, vérifier régulièrement leurs anciens comptes et, si possible, utiliser des canaux de communication distincts pour les livraisons. Les comptes de messagerie doivent être particulièrement bien protégés, car les réinitialisations de mots de passe et les notifications de commande des comptes de commerce électronique passent souvent par e-mail.

Du côté des plateformes, les adresses, les numéros de téléphone et les dates de naissance des clients ne devraient pas être conservés plus longtemps que nécessaire. Les anciens enregistrements de commandes et les sauvegardes devraient être protégés par des restrictions d’accès strictes. Les méthodes de stockage des mots de passe devraient respecter les normes modernes et ne pas reposer sur d’anciens algorithmes. Pour les utilisateurs, la protection la plus pratique à long terme consiste à éviter les décisions précipitées face aux messages concernant les expéditions et les paiements, à utiliser un mot de passe différent pour chaque compte et à effectuer leurs démarches sans cliquer sur des liens suspects.

Lorsqu’une recherche concernant la fuite de données de Bhinneka est effectuée sur LeakData, le résultat indique si l’adresse e-mail saisie figure dans ce jeu de données vérifié issu du commerce électronique indonésien. Une correspondance indique que l’adresse e-mail peut avoir fait partie d’un enregistrement client associé aux champs nom, numéro de téléphone, adresse, date de naissance, genre et mot de passe. Ce résultat n’implique pas une fuite de données de carte de paiement ou de compte bancaire; il doit toutefois être pris au sérieux en raison des risques de fraude liés au commerce électronique et à la réutilisation des mots de passe.

Les utilisateurs pour lesquels une correspondance est trouvée devraient cesser de réutiliser leurs mots de passe, renforcer la sécurité de leurs comptes de messagerie et d’achat en ligne, et vérifier les messages inattendus concernant les expéditions et les garanties par un canal indépendant. L’absence de correspondance ne garantit pas qu’ils n’ont pas été concernés par d’autres fuites de données liées au commerce électronique ou aux livraisons; elle indique seulement qu’aucune correspondance n’a été trouvée dans cette fiche Bhinneka. Cette fiche se limite aux champs de données vérifiés et à un périmètre de 1 274 340 comptes.