Fuite de données chez Catho

Les catégories de données vérifiées comprennent les adresses e-mail, les noms, les noms d’utilisateur et les mots de passe. Les mots de passe constituent le champ le plus critique : lorsqu’ils sont en clair, ils peuvent être testés sur d’autres services sans aucune opération préalable de cassage. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, sur différents comptes, une seule fuite peut entraîner des risques en chaîne pour vos comptes de messagerie, vos profils sur les réseaux sociaux, vos comptes de recherche d’emploi, les services financiers que vous utilisez ou les systèmes internes de votre entreprise. Les adresses e-mail et les noms d’utilisateur permettent quant à eux aux attaquants de retrouver des comptes, d’effectuer des tentatives de connexion automatisées et de cibler les procédures de réinitialisation des mots de passe.

Un nom, pris isolément, peut ne pas sembler particulièrement confidentiel. Cependant, associé à une adresse e-mail et à un nom d’utilisateur, il fournit suffisamment de contexte pour créer des messages personnalisés. Les utilisateurs des plateformes d’offres d’emploi sont notamment plus susceptibles de prêter attention à des sujets comme les offres d’emploi, la mise à jour d’un CV, les invitations d’entreprises ou la planification d’entretiens. Les champs divulgués peuvent donc servir à des opérations d’hameçonnage ciblé, à de fausses annonces d’emploi, à des formulaires de candidature contenant des fichiers malveillants ou à des liens présentés comme des vérifications de compte. La présence de mots de passe en clair accroît le risque, car l’attaquant peut également voir directement quel mot de passe l’utilisateur privilégie.

Le nombre de comptes touchés vérifié pour cette fiche correspond à 1 173 012 adresses e-mail uniques. Il est également indiqué que le jeu de données associé à l’incident contient environ 11 millions d’enregistrements. Toutefois, ce nombre élevé ne doit pas être interprété comme un nombre d’utilisateurs distincts. Les vérifications confirmées publiquement ont recensé les champs divulgués suivants : nom, nom d’utilisateur, adresse e-mail et mot de passe en clair. En l’absence de preuves vérifiées au même niveau concernant des champs tels que le numéro de téléphone, l’adresse postale, le numéro d’identification, les données de carte de paiement, les informations bancaires ou le contenu des CV, cette fiche ne comprend pas ces catégories de données.

La date de l’incident est située approximativement en mars 2020. Il a été rapporté que le jeu de données avait ensuite été mis en vente avec des données issues d’autres violations. Cette chronologie laisse penser que la fuite a pu passer inaperçue auprès des utilisateurs dans un premier temps et que des tiers ont pu tester les mots de passe pendant longtemps. Ainsi, même si le compte Catho a été fermé par la suite, le risque subsiste si le même mot de passe a été utilisé sur d’autres comptes. L’évaluation du périmètre doit maintenir la distinction entre les lignes répétées et le nombre d’adresses e-mail uniques, sans laisser entendre aux utilisateurs que l’impact est plus important qu’il ne l’est ou qu’il dépasse ce qui a été vérifié.

Le groupe le plus exposé comprend les personnes qui ont créé un compte sur Catho et utilisé le même mot de passe sur d’autres services. Pour ces utilisateurs, le risque de prise de contrôle d’un compte est plus élevé que dans le cas d’autres fuites, car l’attaquant dispose directement d’un mot de passe qu’il peut tester. Les personnes en recherche d’emploi peuvent aussi être plus vulnérables aux faux messages de recrutement, car il n’est pas toujours facile de distinguer une véritable opportunité professionnelle d’un lien malveillant. Lorsque le nom, l’adresse e-mail et le contexte de la plateforme sont réunis, les messages peuvent paraître plus personnels et plus convaincants.

Le deuxième groupe à risque comprend les personnes qui utilisent l’adresse e-mail de leur compte Catho comme adresse professionnelle, pour un compte scolaire ou pour un compte personnel utilisé depuis longtemps. Ces adresses peuvent être reliées à leurs cercles sociaux, à leur parcours professionnel et à d’autres comptes en ligne. La divulgation du nom d’utilisateur peut également permettre de rechercher le même pseudonyme sur différentes plateformes. Pour les équipes chargées de la sécurité en entreprise, le risque augmente si les salariés utilisent, sur leurs comptes professionnels, des mots de passe similaires à ceux de leurs comptes personnels de recherche d’emploi. Il est donc nécessaire d’examiner non seulement le compte Catho, mais aussi tous les comptes associés aux mêmes identifiants de connexion.

Le mot de passe utilisé pour votre compte Catho ne doit plus être considéré comme sûr. Vous devez d’abord définir un mot de passe unique et robuste sur Catho, puis faire de même pour tous les comptes sur lesquels vous avez utilisé ce mot de passe ou un mot de passe similaire. Si vous ne vous souvenez pas l’avoir réutilisé, vérifiez en priorité vos comptes de messagerie, vos comptes sur les réseaux sociaux, les sites de recherche d’emploi, les services de stockage en ligne et vos comptes de services financiers. Un gestionnaire de mots de passe facilite la création de mots de passe longs et différents pour chaque service.

Activez l’authentification multifacteur sur votre compte de messagerie et examinez les connexions récentes ainsi que les applications connectées. Fermez les sessions suspectes et supprimez les règles de transfert, les adresses e-mail de récupération et les numéros de téléphone que vous ne reconnaissez pas. Examinez attentivement les pièces jointes et les liens des messages reçus en lien avec Catho ou votre recherche d’emploi. Les offres d’emploi exigeant un paiement, les formulaires demandant des documents personnels, les messages promettant une embauche rapide et les pages réclamant un mot de passe sous prétexte de vérifier un compte doivent être considérés comme présentant un risque élevé.

Cet incident montre que les comptes utilisés sur les plateformes de recherche d’emploi contiennent eux aussi des informations d’identité de grande valeur. À long terme, l’utilisation d’un mot de passe différent pour chaque plateforme doit être la règle de base. Vous pouvez limiter les risques en choisissant une adresse distincte pour vos comptes de recrutement et de gestion de carrière, plutôt qu’une adresse e-mail accessible publiquement. Vérifiez régulièrement vos anciens comptes de recherche d’emploi, fermez ceux que vous n’utilisez plus et supprimez les informations qu’il n’est pas nécessaire de conserver sur votre profil. Vous réduirez ainsi la quantité de données susceptibles d’être exposées lors d’un futur incident.

Les entreprises doivent expliquer clairement, lors des formations de sensibilisation des salariés, que la réutilisation de mots de passe de comptes personnels peut créer des risques pour l’entreprise. Les comptes d’entreprise doivent bénéficier de l’authentification multifacteur, d’une surveillance des connexions suspectes, de politiques limitant la réutilisation des mots de passe et de mesures renforçant la résistance à l’hameçonnage. Même s’il n’est pas possible d’empêcher les utilisateurs de construire leurs mots de passe selon le même schéma pour leurs comptes personnels et professionnels, des dispositifs d’alerte précoce et des procédures de changement rapide des mots de passe peuvent réduire les dommages. Les messages frauduleux liés à la recherche d’emploi doivent également faire partie des scénarios de surveillance des équipes de sécurité.

La correspondance affichée dans cette fiche indique que l’adresse e-mail concernée figure dans la liste des adresses e-mail uniques associées à la fuite de données de Catho. Une correspondance ne signifie pas que tous vos comptes ont été compromis. Vous devez néanmoins partir du principe que le mot de passe divulgué a pu être testé sur d’autres services. La priorité est de modifier les mots de passe des comptes qui utilisent le même mot de passe ou un mot de passe similaire, et de renforcer la sécurité de votre compte de messagerie. Les autres comptes ne peuvent pas être considérés comme sûrs tant que ce compte n’est pas protégé, car les liens de réinitialisation des mots de passe sont généralement envoyés par e-mail.

Vérifiez vos anciens messages, vos mots de passe enregistrés et les comptes que vous utilisiez à la même période que votre compte Catho. Prenez au sérieux les alertes de connexion suspecte, les e-mails inattendus de réinitialisation de mot de passe et les liens qui se présentent comme des offres d’emploi. Même si le périmètre vérifié de cet incident est limité, ses conséquences pourraient être durables en raison de la présence de mots de passe en clair. L’approche la plus sûre consiste à vous assurer que le mot de passe divulgué n’est plus utilisé nulle part, à activer l’authentification multifacteur et à redoubler de prudence face aux messages liés à la recherche d’emploi.