Cal AI Exposition présumée de données

Les données de santé et de comportement occupent une place importante dans cette fiche. Le rapprochement des historiques de repas, des informations d’abonnement, des codes PIN, des objectifs physiques et des informations de profil peut permettre de dresser un portrait détaillé du mode de vie, des objectifs de santé et des habitudes d’utilisation de l’application. C’est pourquoi cette fiche est signalée comme contenant des données sensibles.

La fiche ne mentionne pas de champs contenant des données de carte de paiement ou des mots de passe en clair. Les codes PIN, les données de santé et de condition physique ainsi que l’historique des repas présentent toutefois des enjeux importants pour la vie privée. Les utilisateurs ne doivent pas se préoccuper uniquement de la sécurité des comptes, mais aussi des contextes dans lesquels les informations personnelles de santé et de nutrition qu’ils saisissent dans l’application pourraient être utilisées.

La date de l’incident indiquée dans la fiche est le 9 mars 2026. Selon des articles de presse spécialisés en sécurité, les données d’environ 3 millions d’utilisateurs de Cal AI seraient concernées. Certaines sources évoquent une structure ouverte de type Firebase et un système de codes PIN à 4 chiffres. Toutefois, l’incident n’a pas été officiellement confirmé et n’a pas fait l’objet d’une vérification entièrement indépendante. La fiche reste donc non vérifiée.

La description du périmètre ne doit présenter ni la méthode d’attaque ni la reconnaissance de l’incident par l’organisation comme des faits établis. Le texte actuel explique les catégories de données signalées et les risques possibles dans le contexte des applications de santé. Une correspondance doit être prise au sérieux en raison des risques liés aux données sensibles, mais les limites de la vérification ne doivent pas être dissimulées aux utilisateurs.

Les utilisateurs à risque peuvent être ceux qui ont créé un compte Cal AI ou partagé des historiques de repas, des objectifs de condition physique, des informations d’abonnement ou des liens vers leurs profils sur les réseaux sociaux. Les données relatives à la santé, au poids, à la nutrition et aux habitudes quotidiennes sont importantes pour la protection de la vie privée.

Ce type de données peut être utilisé dans de faux messages d’ingénierie sociale portant sur le coaching santé, le renouvellement d’un abonnement, la sécurité de l’application, un programme alimentaire ou des services de type assurance. Si le code PIN a été réutilisé, d’autres applications peuvent également être exposées à un risque.

Les utilisateurs pour lesquels une correspondance est signalée doivent vérifier leur compte Cal AI ainsi que les autres applications où ils utilisent le même code PIN, le même mot de passe ou des variantes construites sur le même modèle. Ils doivent examiner les informations sensibles de santé, de poids, de repas ou d’abonnement saisies dans l’application. Les messages suspects concernant un abonnement ou un paiement doivent être vérifiés dans l’application officielle.

Plutôt que d’ouvrir directement les liens reçus, les utilisateurs doivent se connecter à partir de l’adresse web connue ou de l’application officielle du service concerné. Le fait qu’un interlocuteur connaisse leur nom, leur adresse e-mail, leur adresse, leur commande ou leurs informations de profil ne prouve pas qu’il est digne de confiance. Les codes de vérification à usage unique, les informations de carte de paiement et les mots de passe des comptes ne doivent jamais être communiqués lors d’un échange avec un service d’assistance.

À long terme, l’utilisation régulière d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs, ainsi que la suppression des informations personnelles inutiles dans les comptes, réduisent les risques. La réutilisation d’une même adresse e-mail sur différentes plateformes facilite le rapprochement des données provenant de plusieurs fuites. L’utilisation d’une adresse e-mail distincte ou d’un alias pour les comptes critiques peut être envisagée.

Dans les applications de santé et de condition physique, il convient de ne pas remplir les champs de profil inutiles, de limiter les connexions aux réseaux sociaux et de ne conserver les données personnelles de santé que dans des services disposant de politiques de stockage fiables. Les utilisateurs institutionnels ne doivent pas transférer les données de santé de leurs employés vers des applications grand public.

La vérification effectuée par LeakData indique si l’adresse e-mail recherchée figure dans cette fiche. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur. Il constitue toutefois un avertissement suffisant pour prendre des mesures de précaution. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans cet ensemble de données et n’exclut pas la présence de l’adresse dans d’autres fuites.

Un résultat positif indique une correspondance présentant un risque lié à des données sensibles de santé et de condition physique dont l’exposition n’a pas été vérifiée. Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans cette fiche. La même adresse e-mail doit également être vérifiée pour d’autres applications de santé ou d’IA.