Fuite de données chez Bookmate

Dans la fuite de Bookmate, les adresses e-mail, les noms, les noms d’utilisateur, les dates de naissance, le genre, les localisations géographiques et les mots de passe sont des champs de données vérifiés. Les adresses e-mail et les noms d’utilisateur peuvent servir à établir des liens entre des comptes. Le nom, la date de naissance et le genre permettent, quant à eux, de préparer des messages plus personnalisés. Les informations de localisation peuvent être détournées pour cerner le profil régional de l’utilisateur ou produire de fausses notifications plus convaincantes grâce à un contenu local.

Le stockage des mots de passe sous forme d’empreintes SHA-512 salées réduit la probabilité que les mots de passe identiques de plusieurs utilisateurs produisent le même résultat. Toutefois, SHA-512 est une famille de fonctions de hachage rapides à calculer. Les mots de passe faibles ou réutilisés peuvent devenir prévisibles au fil du temps. Le risque ne se limite donc pas au compte Bookmate. Si l’utilisateur a employé le même mot de passe pour sa messagerie, les réseaux sociaux, des communautés de lecteurs, des sites marchands ou des comptes professionnels, ces comptes doivent également être vérifiés.

Le périmètre vérifié de cette fiche comprend 3 830 916 adresses e-mail uniques et sept catégories de données : dates de naissance, adresses e-mail, genre, localisations géographiques, noms, mots de passe et noms d’utilisateur. Les données de cartes de paiement, les numéros de téléphone, les adresses postales, l’historique de lecture et le contenu des messages privés ne font pas partie des catégories de données vérifiées pour cette fiche. Ces limites sont importantes pour informer correctement l’utilisateur et éviter d’inclure des éléments non vérifiés dans le périmètre de la fuite.

L’incident concerne les comptes d’utilisateurs du service Bookmate. Il ne faut pas en déduire automatiquement que des applications similaires de livres numériques, des éditeurs ou des opérateurs mobiles partenaires ont également subi une violation de données. Le nombre indiqué dans cette fiche correspond aux adresses e-mail uniques touchées. Même si le nombre de lignes ou d’enregistrements bruts peut varier selon les sources, la planification des mesures doit se fonder sur le nombre de comptes uniques pour lesquels les actions des utilisateurs sont vérifiées, ainsi que sur les types de données vérifiés.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte Bookmate sur d’autres comptes. Les données personnelles, telles que la date de naissance, le nom, le genre et la localisation, peuvent servir à les cibler avec de faux messages concernant des abonnements, des recommandations de lecture, une vérification de compte ou des campagnes régionales. Le risque de rapprochement entre profils augmente également pour les personnes qui utilisent le même nom d’utilisateur dans les communautés de lecteurs, sur les réseaux sociaux et dans les forums.

Bookmate s’étant développé dans différentes régions par le passé, certains utilisateurs peuvent avoir oublié des comptes créés il y a de nombreuses années. Si les mots de passe de ces anciens comptes sont encore utilisés ailleurs, le risque reste d’actualité. Les utilisateurs qui se sont inscrits avec leur adresse e-mail principale, n’utilisent pas de gestionnaire de mots de passe ou continuent à reprendre d’anciens modèles de mots de passe en les modifiant légèrement doivent traiter cette fiche en priorité.

Les utilisateurs pour lesquels une correspondance est trouvée dans cette fiche doivent d’abord identifier le mot de passe utilisé sur leur compte Bookmate et les autres comptes sur lesquels ce même mot de passe est employé. Si un mot de passe identique ou similaire est encore utilisé sur un autre compte, il doit être changé immédiatement. Les comptes de messagerie, de réseaux sociaux, de stockage dans le cloud, d’achat en ligne, d’abonnement et les comptes professionnels doivent être traités en priorité. Créer un mot de passe long et unique pour chaque compte réduit le risque d’attaques par force brute reposant sur d’anciens jeux de données.

Les utilisateurs doivent se méfier des messages personnalisés concernant le renouvellement d’un abonnement, de fausses recommandations de lecture, la sécurité des comptes ou des réductions. Au lieu de se connecter en suivant les liens reçus, ils doivent accéder directement au service concerné, ne pas ouvrir de fichiers inattendus et mettre à jour les informations de récupération de leurs comptes. La vérification en deux étapes doit être activée sur les comptes critiques, et les variantes d’anciens mots de passe ne doivent plus être utilisées.

Le cas Bookmate montre que les services de contenus numériques et d’abonnement détiennent eux aussi des données importantes sur les profils personnels. Les utilisateurs doivent régulièrement examiner les informations de profil qu’ils partagent dans le cadre de leurs abonnements à des services de lecture, de musique, de vidéo et d’éducation. Les comptes qui ne sont plus utilisés doivent être fermés. Pour ceux qui ne peuvent pas l’être, il convient d’utiliser des mots de passe uniques et de limiter les champs tels que la date de naissance, la localisation ou le nom d’utilisateur visible publiquement, afin qu’ils ne contiennent pas de détails superflus.

Pour les fournisseurs de services, de tels incidents montrent qu’au-delà du mode de stockage des mots de passe, la segmentation des données de profil, le contrôle des accès, la gestion des sauvegardes et les procédures de signalement des incidents sont également importants. Du côté des utilisateurs, la vérification des mots de passe divulgués, l’utilisation de gestionnaires de mots de passe robustes, l’authentification multifacteur et la suppression des anciens comptes doivent être combinées. Même si un compte d’abonnement semble peu important, son impact peut s’amplifier lorsqu’il est associé à des données de profil personnel.

Une correspondance avec une adresse e-mail dans cette fiche indique que l’utilisateur figure dans le jeu de données Bookmate. Il doit d’abord déterminer quel mot de passe il utilisait sur son compte Bookmate, puis vérifier si le même mot de passe ou des variantes similaires ont été utilisés sur d’autres comptes. Les messages peuvent sembler plus personnels en raison de champs tels que la date de naissance, la localisation et le nom. Les messages relatifs à la sécurité des comptes doivent donc être examinés avec attention.

Une correspondance ne prouve pas que le mot de passe a été transmis en clair. Toutefois, l’exposition d’empreintes de mots de passe SHA-512 salées et de données de profil personnel constitue un signal d’alerte suffisant en matière de sécurité. Le risque de prise de contrôle de comptes et d’hameçonnage lié à la fuite de Bookmate est réduit lorsque l’utilisation de mots de passe uniques, l’authentification à deux facteurs, la vérification des alertes e-mail directement par un canal de confiance et la suppression des anciens comptes d’abonnement sont mises en œuvre conjointement.