bigbasket: fuite de données de 2020

Les catégories de données dont l’exposition a été vérifiée sont les dates de naissance, les adresses e-mail, les adresses IP, les noms, les mots de passe, les numéros de téléphone et les adresses postales. Cette combinaison peut aider des attaquants à utiliser un nom réel, des coordonnées et le contexte d’une livraison pour créer de faux messages concernant une expédition, une annulation de commande, un remboursement ou une mise à jour d’adresse. Les mots de passe n’étaient pas en clair : ils utilisaient l’ancien format de hachage Django(SHA-1), qui ne répond pas aux exigences actuelles de stockage des mots de passe et n’élimine pas le risque de cassage hors ligne des mots de passe faibles. Les données de cartes de paiement et de comptes bancaires ne font pas partie des catégories dont l’exposition a été vérifiée pour cette fiche.

La date de référence de la fuite est le 14 octobre 2020. Vers la fin d’octobre 2020, une base de données présentée comme faisant environ 15 GB et contenant près de 20 millions de lignes relatives à des clients a été mise en vente. En novembre 2020, bigbasket a déclaré examiner une éventuelle fuite de données, en étudier l’étendue avec des spécialistes de la sécurité et avoir déposé une plainte auprès de la Bengaluru Cyber Crime Cell. L’entreprise a également déclaré ne pas stocker de données financières ni de numéros de carte. Les données ont été diffusées plus largement en avril 2021, et l’analyse de référence a confirmé la présence de 24 500 011 adresses e-mail uniques. L’estimation initiale de près de 20 millions de lignes et les 24 500 011 adresses e-mail uniques ne correspondent ni à la même mesure ni à la même étape de l’analyse. La méthode technique précise utilisée pour accéder au système n’a pas été divulguée publiquement.

Les clients qui possédaient un compte bigbasket et avaient fourni un numéro de téléphone ou une adresse de livraison pendant la période concernée sont les plus directement exposés. Toute personne ayant réutilisé le même mot de passe pour sa messagerie, ses achats, ses paiements ou ses comptes professionnels est davantage exposée aux tentatives de connexion exploitant cette réutilisation. La combinaison d’un nom, d’un numéro de téléphone, d’une date de naissance et d’une adresse peut rendre plus convaincants de faux appels du service client et des messages liés à des livraisons. Une adresse IP ne révèle pas à elle seule une localisation exacte, mais, associée à d’autres champs du profil, elle peut fournir des éléments utiles pour relier des comptes entre eux et cibler leurs titulaires.

Si vous utilisez encore sur un compte un mot de passe qui était utilisé sur bigbasket pendant la période de la fuite, changez-le immédiatement et cessez aussi d’utiliser ses variantes proches. Sécurisez d’abord votre compte de messagerie, vérifiez les sessions actives et les options de récupération, puis activez l’authentification multifacteur lorsqu’elle est disponible. N’ouvrez pas les liens envoyés sous prétexte d’une commande, d’un bon de réduction, d’un remboursement, d’une correction de paiement ou d’une mise à jour d’adresse; ouvrez vous-même le site connu ou l’application officielle. Un message contenant votre vrai nom, votre numéro de téléphone ou votre adresse ne prouve pas que son expéditeur est légitime, et vous ne devez jamais communiquer de codes de vérification à usage unique.

Utilisez un gestionnaire de mots de passe pour générer un mot de passe différent pour chaque service et, lorsque c’est possible, utilisez des alias d’adresse e-mail dédiés pour séparer vos comptes d’achat. Supprimez les adresses de livraison et les numéros de téléphone des anciens comptes que vous n’utilisez plus, et gardez à jour les informations de récupération de vos comptes. Laissez les alertes de connexion activées pour votre messagerie et vos comptes financiers, et vérifiez par un canal indépendant les notifications inattendues de réinitialisation de mot de passe ou de commande. Les informations difficiles à modifier, comme les adresses et les dates de naissance, peuvent servir à des tentatives d’ingénierie sociale des années plus tard : ne considérez donc pas qu’un seul changement de mot de passe suffit à éliminer le risque lié à cet incident.

Effectuez une vérification dans cette fiche avec l’adresse e-mail que vous utilisiez pour bigbasket. Une correspondance signifie que l’adresse figure dans le jeu de données de référence de bigbasket; elle ne signifie pas que des informations de carte de paiement ou des données bancaires ont été exposées. Si le résultat est positif, remplacez l’ancien mot de passe partout où vous l’avez réutilisé, sécurisez en priorité votre messagerie et restez vigilant face aux arnaques liées aux livraisons. Si le résultat est négatif, n’oubliez pas qu’il ne concerne que ce jeu de données et n’exclut pas une exposition lors d’autres fuites.