Fuite de données chez Catwatchful

Les catégories de données observées dans la fiche Catwatchful doivent être considérées comme des adresses e-mail et des données de mots de passe. Les adresses e-mail peuvent servir à des tentatives d’hameçonnage ciblé, à des démarches de réinitialisation de mot de passe et au rapprochement de comptes sur différents services. Les données de mots de passe augmentent directement le risque de prise de contrôle d’un compte, surtout lorsque le même mot de passe est réutilisé sur d’autres services.

Un mot de passe trouvé en clair peut être essayé sur d’autres comptes sans qu’il soit nécessaire de le casser au préalable. Dans le contexte d’un logiciel espion, cela peut aussi avoir des conséquences plus graves : association de l’utilisateur à une application de surveillance, risques juridiques et personnels, et menaces pour la sécurité des personnes ciblées.

Cette fiche est associée au domaine catwatchful.com et à l’incident de juin 2025. Son périmètre se limite aux adresses e-mail et aux mots de passe en clair. Les contenus collectés sur les appareils ciblés, comme les messages, les photos ou la localisation, ne doivent pas être ajoutés comme une catégorie de données distincte dans cette fiche. Ils doivent uniquement être pris en compte avec prudence pour éclairer le contexte de l’incident.

Les champs absents des données recensées ne doivent pas être présentés comme ayant fait l’objet d’une fuite. Des champs tels que le numéro de carte complet, le mot de passe du compte, une pièce d’identité officielle, un message privé, le contenu d’un appareil ou des informations de santé ne doivent être ajoutés à l’évaluation des risques que s’ils figurent explicitement dans les données recensées. Ce texte repose sur les catégories de données vérifiables et les limites connues de l’incident.

Les personnes ayant ouvert un compte client Catwatchful, celles qui utilisent le même mot de passe sur d’autres comptes et celles dont l’association à un tel service pourrait entraîner des risques personnels ou juridiques sont les premières concernées.

Les utilisateurs qui emploient la même adresse e-mail sur différents services, réutilisent leurs anciens mots de passe et communiquent leur numéro de téléphone et leur adresse sur de nombreux comptes de sites marchands ou communautaires sont davantage exposés. Le lien entre un pseudonyme et l’identité réelle dans des comptes professionnels ou communautaires peut créer des risques supplémentaires d’ingénierie sociale.

Les utilisateurs doivent immédiatement changer le mot de passe de tous les comptes sur lesquels ils réutilisent le même mot de passe. Il convient d’examiner la sécurité de la messagerie, l’historique des sessions et les enregistrements du gestionnaire de mots de passe pour les comptes liés à ce service. Les risques juridiques et éthiques doivent également être évalués.

Les utilisateurs pour lesquels une correspondance a été trouvée doivent modifier les mots de passe des comptes sur lesquels ils utilisent des mots de passe identiques ou similaires, activer l’authentification à deux facteurs lorsque c’est possible et vérifier les sessions récentes. Lorsque les données recensées contiennent des numéros de téléphone, des adresses, des informations de paiement ou des informations sensibles liées à des communautés, il convient de se méfier des appels inattendus ainsi que des messages inattendus concernant des livraisons, des retours, l’assistance ou des vérifications.

À long terme, l’utilisation régulière d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs, ainsi que la suppression des informations personnelles inutiles dans les comptes, réduisent les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites. L’utilisation d’une adresse e-mail distincte ou d’un alias pour les comptes critiques peut être envisagée.

Les services de logiciels espions et de logiciels de traque numérique (stalkerware) présentant un risque élevé pour la vie privée, les utilisateurs devraient envisager de fermer les comptes associés à ces services, d’utiliser des adresses e-mail et des mots de passe uniques et de faire examiner la sécurité de leurs appareils avec l’aide de spécialistes.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans les données de cette fiche. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur. Il constitue néanmoins un avertissement suffisant pour prendre des mesures de précaution. Un résultat négatif indique seulement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas une présence dans d’autres fuites.

Un résultat positif indique que l’adresse e-mail figure dans les enregistrements clients de Catwatchful. En raison des mots de passe en clair et du contexte de logiciel espion, ce résultat doit être traité en priorité. Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans les données de cette fiche.