Fuite de données chez CafePress

Les principaux types de données dont l’exposition a été vérifiée sont les adresses e-mail, les noms, les numéros de téléphone, les adresses postales et les mots de passe. Les mots de passe étant stockés sous forme d’empreintes SHA-1, ceux qui étaient courts ou couramment utilisés présentaient un risque accru d’être retrouvés par des essais hors ligne. Associer une adresse e-mail à un nom, un numéro de téléphone ou une adresse de domicile peut rendre beaucoup plus convaincants les tentatives d’hameçonnage ciblé, les faux avis de livraison, les escroqueries téléphoniques et les abus des procédures de récupération de compte. Une enquête menée par une autorité de régulation a également fait état de millions de questions et réponses de sécurité, de plus de 180 000 numéros de sécurité sociale et de dizaines de milliers de numéros partiels de cartes de paiement et de dates d’expiration. Ces catégories supplémentaires concernaient des sous-ensembles plus restreints et ne doivent pas être considérées comme touchant l’ensemble des 23,2 millions d’adresses. Aucun élément vérifié ne permet d’affirmer que des numéros de carte complets, des codes CVV ou les données financières de chaque utilisateur ont été exposés.

La date de référence de l’incident est le 20 février 2019. Un attaquant aurait exploité des failles de sécurité ce mois-là, et l’entreprise a été informée d’une vulnérabilité et du vol de données de consommateurs environ un mois plus tard. Bien que la vulnérabilité ait été corrigée, une enquête approfondie a été retardée de plusieurs mois; un avertissement supplémentaire en avril 2019 n’a toujours pas conduit à informer immédiatement et clairement les clients. Les utilisateurs ont été contraints de changer de mot de passe en août, mais cette demande a d’abord été présentée comme une mise à jour générale de la politique relative aux mots de passe. Les clients concernés n’ayant été avertis qu’en septembre 2019, la période pendant laquelle les mots de passe volés et les réponses dérobées aux questions de sécurité pouvaient être utilisés à des fins malveillantes s’en est trouvée prolongée. La technique précise utilisée pour obtenir l’accès initial n’a pas été détaillée publiquement : attribuer l’incident à l’exploitation d’une faille particulière ou à une méthode d’attaque spécifique relèverait donc de la spéculation.

Le groupe à risque le plus large comprend les personnes dont les adresses e-mail étaient liées à des comptes CafePress au moment de l’incident. Toute personne ayant réutilisé le même mot de passe ailleurs risque de subir des attaques par réutilisation automatisée d’identifiants, tandis que les utilisateurs dont les noms, adresses ou numéros de téléphone figuraient dans les données peuvent recevoir des messages frauduleux plus personnalisés. Les personnes dont les réponses aux questions de sécurité étaient présentes doivent considérer les réponses réutilisées sur d’autres services comme des secrets de récupération de compte compromis. Le groupe plus restreint dont les numéros de sécurité sociale ont été exposés court un risque accru d’usurpation d’identité et de création frauduleuse de comptes; les utilisateurs dont des données partielles de carte figuraient dans les données doivent surveiller de près les opérations sur leur carte et les communications de leur banque. La fermeture d’un compte avant l’incident ne prouve pas, à elle seule, que les données précédemment conservées étaient absentes des systèmes touchés.

Changez votre mot de passe CafePress ainsi que tous les mots de passe identiques ou similaires utilisés sur d’autres services, en les remplaçant chacun par un mot de passe long et unique. Activez l’authentification multifacteur partout où elle est disponible et utilisez un gestionnaire de mots de passe pour éviter de réutiliser les mêmes mots de passe à l’avenir. Modifiez les réponses aux questions de sécurité que vous avez réutilisées et vérifiez l’adresse e-mail et le numéro de téléphone de récupération associés à vos comptes importants. Ne suivez pas les liens contenus dans des messages inattendus évoquant CafePress et portant sur une réinitialisation de mot de passe, une commande, un remboursement ou une livraison; accédez au service en saisissant vous-même l’adresse que vous connaissez. Si vous avez reçu une notification précisant que votre numéro de sécurité sociale pourrait être concerné, examinez vos rapports de crédit et envisagez, le cas échéant, une alerte à la fraude ou un gel de votre dossier de crédit. Si vos données partielles de carte ont été touchées, surveillez vos transactions et signalez rapidement toute activité suspecte à l’émetteur de votre carte.

Des mots de passe uniques, l’authentification multifacteur et la vérification périodique des paramètres de récupération de compte constituent le socle de protection le plus solide, applicable à vos différents comptes. Si une adresse e-mail exposée ne peut pas être changée, considérez les messages inattendus de connexion et de réinitialisation comme des signaux d’alerte précoce. Les criminels pouvant utiliser des informations réelles sur votre adresse, votre téléphone et vos achats pour donner une apparence légitime à leurs demandes, vérifiez toute demande urgente par un autre canal de confiance. Les utilisateurs dont les données d’identité ont été touchées doivent surveiller leurs rapports de crédit dans la durée et, lorsqu’ils ferment des comptes inutilisés, demander séparément la suppression des données ou des précisions sur les durées de conservation. Pour les exploitants de services, le recours à des méthodes modernes de hachage des mots de passe, le chiffrement des identifiants sensibles, la suppression des données inutiles, des procédures de réponse aux incidents testées et l’information des clients en temps utile sont des mesures durables qui limitent les dommages liés aux futures fuites de données.

Recherchez votre adresse e-mail dans LeakData pour voir si elle figure dans les données de la fuite CafePress. Ne vérifiez que les adresses qui vous appartiennent ou que vous êtes autorisé à consulter. Une correspondance signifie que l’adresse apparaît dans le jeu de données vérifié; elle ne prouve ni que quelqu’un a pris le contrôle du compte ni que tous les types de données répertoriés figuraient dans votre enregistrement individuel. L’absence de résultat ne doit pas vous amener à ignorer une notification de sécurité reçue par un autre canal de confiance, car la couverture et la vérification du jeu de données peuvent évoluer au fil du temps. En cas de correspondance, donnez la priorité au remplacement des mots de passe réutilisés, puis vérifiez les paramètres de récupération et l’activité financière en fonction des catégories de données qui vous concernent.