Fuite de données de BitRewards (2020)

La vérification a pris en compte la présence, dans un même incident, du nom BitRewards, du domaine bitrewards.com, de la date de juillet 2020, d'un nombre de comptes supérieur à 427 000 et des champs correspondant à l'adresse e-mail, au nom, au téléphone et à l'empreinte du mot de passe. La sécurité des comptes est particulièrement importante sur les plateformes de récompenses en cryptomonnaies et de fidélité, car les utilisateurs peuvent employer la même adresse e-mail ou le même numéro de téléphone pour différents comptes sur des plateformes d'échange, des portefeuilles, des sites marchands et des programmes de récompenses. L'enregistrement s'est limité aux champs de compte étayés et n'a pas été élargi de manière à laisser entendre qu'un accès à des actifs financiers avait eu lieu.

La fuite de données de BitRewards expose les utilisateurs à des risques tels que la prise de contrôle de leur compte, l'hameçonnage sur le thème des cryptomonnaies et la fraude aux points de fidélité. L'adresse e-mail et le numéro de téléphone facilitent la prise de contact avec l'utilisateur, aussi bien par e-mail que par SMS. Le champ du nom permet de personnaliser le message. Le champ contenant l'empreinte du mot de passe augmente le risque que des mots de passe identiques ou faibles soient essayés sur d'autres services. Les attaquants peuvent préparer de faux messages concernant des demandes de récompenses, des retraits de points, l'association d'un portefeuille, la sécurité des comptes ou la vérification d'une campagne.

Dans cet incident, les catégories de données visibles sont sensibles, car elles s'inscrivent dans le contexte des cryptomonnaies et des programmes de récompenses. Il n'a pas été retenu que les données contenaient une clé privée ou des informations de paiement complètes. Toutefois, les champs d'adresse e-mail, de téléphone et d'empreinte de mot de passe peuvent suffire à cibler un utilisateur. Lorsque les mots de passe stockés sous forme d'empreintes sont faibles, fondés sur des mots du dictionnaire ou déjà observés dans d'autres fuites, ils peuvent permettre des attaques visant à deviner les identifiants de compte. Les personnes qui utilisent les mêmes informations de connexion sur différentes plateformes sont particulièrement exposées.

Les personnes qui possèdent un compte BitRewards ou utilisent la même adresse e-mail dans des services liés aux cryptomonnaies, des sites marchands ou des programmes de récompenses devraient réinitialiser leur mot de passe sur le compte concerné ainsi que sur tous les comptes où ce mot de passe est réutilisé. Les comptes de messagerie, de plateformes d'échange de cryptomonnaies, de portefeuilles, de sites marchands, de services de paiement et de réseaux sociaux devraient être vérifiés en priorité. L'authentification multifacteur devrait être activée partout où elle est disponible, les anciennes sessions devraient être fermées et les alertes de connexion inattendues devraient être examinées. Les liens de retrait de récompenses, d'association de portefeuille ou de vérification de compte devraient être vérifiés par un canal indépendant.

Pour les organisations, la fuite de données de BitRewards montre que la sécurité des comptes et les communications avec les clients doivent être protégées conjointement dans les programmes de récompenses et de fidélité. Les équipes d'assistance ne devraient pas modifier un compte en se fondant uniquement sur une adresse e-mail, un numéro de téléphone ou un nom. Une vérification supplémentaire est nécessaire pour les transferts de points, les changements d'adresse e-mail, les mises à jour du numéro de téléphone, la récupération de compte et les procédures de validation des campagnes. Les plateformes liées aux cryptomonnaies ou aux récompenses devraient fournir aux utilisateurs des avertissements de sécurité clairs et leur expliquer comment reconnaître les faux liens de portefeuille et les faux messages de retrait de points.

La fiche de la fuite de données de BitRewards s'est limitée aux champs étayés par le périmètre établi. 427 133 comptes ont été enregistrés; les nombres de lignes plus élevés affichés dans certaines vues n'ont pas été repris directement comme nombre d'utilisateurs uniques. La fiche n'incluait aucune affirmation concernant des clés privées de portefeuilles, des cartes de paiement, des comptes bancaires ou des données de documents d'identité officiels. Néanmoins, la combinaison de l'adresse e-mail, du téléphone, du nom et de l'empreinte du mot de passe présente un risque critique pour la sécurité des comptes. Le contexte des récompenses en cryptomonnaies peut inciter les attaquants à donner à leurs messages une apparence plus attrayante et urgente.

Le niveau de risque global a été évalué comme critique, car la fuite de données de BitRewards associe des champs d'identifiant de compte, de téléphone et d'empreinte de mot de passe au contexte des récompenses en cryptomonnaies. Pour les utilisateurs qui recherchent des informations sur cette fuite, les mesures les plus concrètes consistent à ne pas réutiliser le même mot de passe, à activer une vérification supplémentaire sur les comptes de messagerie et de cryptomonnaies, à vérifier de manière indépendante les liens de récompense ou de portefeuille, à ne pas se fier aux demandes de codes reçues par téléphone et à examiner attentivement les messages élaborés à partir d'anciennes informations de compte. Le rapport a été rédigé pour expliquer l'incidence réelle sur la sécurité des comptes, sans y ajouter d'affirmations financières non étayées.