Fuite de données chez Bookchor

Dans la fuite de Bookchor, les adresses e-mail, les noms, les numéros de téléphone, les dates de naissance, le genre, les adresses IP, les profils sur les réseaux sociaux et les mots de passe sont des champs de données vérifiés. Lorsque l’adresse e-mail et le numéro de téléphone sont présents ensemble, l’utilisateur peut être exposé à des tentatives de fraude aussi bien par e-mail que par message ou appel. Le nom, la date de naissance et le genre peuvent servir à créer des messages qui semblent plus personnalisés.

Les profils sur les réseaux sociaux peuvent aider les attaquants à identifier l’utilisateur sur d’autres plateformes et à établir des liens entre ses comptes. La présence de mots de passe sous forme d’empreintes MD5 non salées accroît le niveau de risque. Sans salage, des mots de passe identiques produisent la même empreinte, ce qui facilite la comparaison avec des listes de mots de passe courants. Si le même mot de passe est utilisé pour la messagerie, les réseaux sociaux, les achats ou les comptes professionnels, cette fuite peut entraîner un risque de prise de contrôle de plusieurs comptes en chaîne.

Le périmètre vérifié de cette fiche couvre 498 297 comptes et huit catégories de données : dates de naissance, adresses e-mail, genre, adresses IP, noms, mots de passe, numéros de téléphone et profils sur les réseaux sociaux. Les données de carte de paiement, de compte bancaire, d’adresse postale, de pièce d’identité officielle ou de contenu des commandes ne font pas partie des champs vérifiés pour cette fiche. La description doit s’appuyer uniquement sur les catégories de données vérifiées.

Les données de Bookchor doivent être évaluées dans le contexte du commerce de livres et des plateformes de livres d’occasion. Il ne faut pas en déduire qu’une autre fuite a touché des sites de livres, des éditeurs ou des plateformes de vente portant un nom similaire. Le chiffre indiqué dans la fiche correspond au nombre de comptes distincts concernés; le décompte des lignes brutes ou des enregistrements répétés peut donner un résultat différent. Les mesures à prendre par les utilisateurs doivent être définies en fonction des 498 297 comptes vérifiés et des champs de données répertoriés.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte Bookchor sur d’autres comptes. Les étudiants, les utilisateurs qui achètent et vendent des livres et les personnes qui utilisent la même adresse e-mail ou le même numéro de téléphone sur différents sites marchands peuvent être davantage ciblés. Des champs tels que la date de naissance et le profil sur les réseaux sociaux peuvent servir à tromper l’utilisateur avec des messages plus crédibles concernant des promotions, des livraisons, des vérifications de compte ou des ventes de livres.

Les utilisateurs dont le numéro de téléphone et un lien vers un profil social sont présents peuvent être ciblés non seulement par e-mail, mais aussi sur les applications de messagerie et les réseaux sociaux. L’évaluation des risques ne doit donc pas se limiter au changement de mot de passe. Les utilisateurs doivent se méfier des liens inattendus, des demandes de paiement, des messages d’achat et de vente de livres d’occasion et des alertes de récupération de compte.

Si vous trouvez une correspondance, commencez par identifier le mot de passe que vous utilisiez sur votre compte Bookchor et les autres comptes sur lesquels vous avez utilisé un mot de passe construit sur le même modèle. Si un mot de passe identique ou similaire est encore utilisé sur un autre compte, changez-le immédiatement. Donnez la priorité aux comptes de messagerie, aux réseaux sociaux, aux sites marchands, aux services liés aux paiements, aux plateformes éducatives et aux comptes professionnels. Créez un mot de passe long et unique pour chaque compte.

Les adresses e-mail, les numéros de téléphone et les informations de profil social ayant été exposés, méfiez-vous des fausses notifications de livraison et des faux messages concernant des commandes de livres, des confirmations de paiement, des vérifications de compte ou des promotions. Plutôt que de vous connecter à partir des liens reçus, rendez-vous directement sur le service concerné. N’ouvrez pas de fichiers inattendus et mettez à jour vos informations de récupération de compte. Activez la vérification en deux étapes pour vos comptes essentiels et privilégiez, si possible, la vérification au moyen d’une application.

L’incident de Bookchor montre que les services associant commerce en ligne et fonctionnalités communautaires constituent des profils riches en données personnelles. Les utilisateurs doivent régulièrement vérifier les informations, comme leur date de naissance, leur numéro de téléphone et leur profil social, qu’ils partagent via leurs comptes sur des sites marchands, des plateformes de livres, des plateformes éducatives et des services communautaires. Les comptes qui ne sont plus utilisés doivent être fermés. Pour ceux qui ne peuvent pas être fermés, il convient d’utiliser des mots de passe uniques et de supprimer les détails superflus des profils.

Pour les entreprises, de tels incidents montrent que les méthodes de stockage des mots de passe, la segmentation des données clients, le contrôle des accès et les procédures de signalement des incidents doivent être envisagés ensemble. Du côté des utilisateurs, il convient de combiner l’utilisation de gestionnaires de mots de passe, l’authentification multifacteur, la vérification des mots de passe divulgués et la vigilance face aux fraudes par téléphone ou par e-mail. Des mécanismes de stockage peu robustes, comme les empreintes MD5 non salées, peuvent maintenir un risque pendant des années, même lorsque les jeux de données sont anciens.

Une correspondance avec une adresse e-mail dans cette fiche indique que l’utilisateur figure dans le jeu de données de Bookchor. L’utilisateur doit d’abord déterminer quel mot de passe il utilisait sur son compte Bookchor, puis vérifier si ce même mot de passe ou des variantes similaires ont été utilisés sur d’autres comptes. Puisque des informations téléphoniques et des données de réseaux sociaux sont également présentes, la vigilance doit porter non seulement sur les alertes reçues par e-mail, mais aussi sur les notifications des messageries et des réseaux sociaux.

Une correspondance ne prouve pas que le mot de passe a été transmis en clair. Toutefois, l’exposition d’empreintes de mots de passe MD5 non salées et de données personnelles permettant de contacter les utilisateurs suffit à justifier des mesures de sécurité. L’utilisation de mots de passe uniques et de l’authentification à deux facteurs, la vérification des messages reçus directement par un canal de confiance et la fermeture des anciens comptes réduisent sensiblement les risques de prise de contrôle de compte, d’hameçonnage et de fraude ciblée pouvant découler de la fuite de Bookchor.