Jeu de données non vérifié lié à une fuite attribuée à CDEK (2022)

Pour cette fiche, les catégories de données pouvant être retenues avec prudence se limitent aux adresses e-mail, aux noms et aux numéros de téléphone. Le chiffre recensé est de 19 218 203 adresses e-mail uniques ; il ne doit pas être interprété comme un nombre confirmé de comptes clients CDEK, d’enregistrements de livraison ou de personnes distinctes. Une même personne peut avoir plusieurs coordonnées, et l’affirmation selon laquelle les données provenaient des systèmes de CDEK n’a pas été établie de manière indépendante. Les adresses e-mail peuvent faciliter l’hameçonnage et le repérage de comptes, les numéros de téléphone permettent l’envoi de SMS et les appels frauduleux, et les noms rendent les messages plus personnels. L’association à une marque de livraison peut rendre plus convaincantes les escroqueries concernant une livraison, des frais de douane, une mise à jour d’adresse ou un retour. Les mots de passe, les adresses postales, les données de passeport, les données de paiement, l’historique des expéditions et le contenu des colis ne sont pas des catégories vérifiées dans cette fiche; les ajouter irait au-delà des éléments disponibles.

En mars 2022, un collectif hacktiviste a publié plus de 30 Go de données qu’il affirmait avoir obtenues auprès de CDEK, une marque russe de livraison et de logistique. La date du 9 mars 2022 indiquée dans cette fiche correspond au jeu de données publié; elle ne prouve ni qu’un accès au réseau de CDEK a eu lieu, ni que des données en ont été extraites ce jour-là. Le jeu de données a été indexé le 17 mars et son authenticité est restée « non vérifiée ». Aucun élément public indépendant n’a permis d’établir si ces données provenaient directement de CDEK, d’un tiers ou d’une combinaison d’autres sources. La méthode d’accès initial, les systèmes touchés, la durée de présence dans un réseau et les dates de création des enregistrements n’ont pas été divulgués de manière fiable. Cet événement ne peut donc pas être qualifié de fuite interne confirmée dans l’entreprise, d’incident chez un fournisseur ou d’exploitation d’une vulnérabilité particulière. La valeur « Inconnue » du champ source traduit cette limite des éléments disponibles, plutôt que d’attribuer une cause technique sans fondement.

Les personnes dont l’adresse e-mail, le nom ou le numéro de téléphone figure dans le jeu de données peuvent être exposées à un risque d’ingénierie sociale, mais une correspondance ne prouve ni qu’elles étaient clientes de CDEK, ni que les informations provenaient de CDEK. Des attaquants peuvent combiner ces coordonnées pour créer des messages concernant des colis retardés, un échec de livraison, une adresse manquante, des retours, des frais de douane ou des appels du service client. Un numéro de téléphone permet de cibler une personne par SMS, par appel ou via des applications de messagerie; l’e-mail facilite l’utilisation de fausses pages de connexion, l’envoi de pièces jointes malveillantes et le repérage de comptes. Puisqu’aucune catégorie de mots de passe n’est vérifiée, une correspondance ne signifie pas qu’un mot de passe a été exposé ou qu’un compte a fait l’objet d’une prise de contrôle non autorisée. Le chiffre de 19,2 millions ne permet pas non plus d’établir que chaque ligne contient les trois catégories de données ou que chaque information est toujours à jour. Une exposition potentielle, une fraude réussie et une compromission confirmée sont des situations distinctes.

Avant de suivre un lien dans un message inattendu concernant un colis, consultez le suivi de l’envoi dans l’application du transporteur ou en saisissant vous-même l’adresse de son site, et vérifiez-le par un canal officiel. Utilisez les coordonnées figurant sur le site de l’entreprise plutôt qu’un numéro indiqué dans le message. Refusez les demandes d’informations de carte bancaire, de mots de passe ou de codes à usage unique présentées comme nécessaires à une correction d’adresse, au paiement de frais de douane, à une nouvelle livraison ou à un retour. Activez l’authentification multifacteur sur votre messagerie, vérifiez les informations de récupération et les sessions, et supprimez les règles de transfert ou les mots de passe d’application que vous ne reconnaissez pas. Puisque la présence de mots de passe n’est pas vérifiée ici, cette seule correspondance ne montre pas qu’un mot de passe CDEK a fuité; changez les mots de passe réutilisés dans d’autres incidents. Signalez les SMS suspects et les pages frauduleuses, et contactez immédiatement votre banque en cas de paiement non autorisé.

Des alias d’adresse e-mail distincts pour les achats et les livraisons peuvent vous aider à déterminer à quelle inscription un message se rapporte et à repérer plus facilement les fraudes. Un mot de passe différent pour chaque service, conservé dans un gestionnaire de mots de passe, limite les prises de contrôle de comptes liées à d’autres incidents, même si aucune n’est vérifiée ici. Utilisez l’authentification multifacteur sur votre messagerie et vos comptes importants, de préférence avec une application d’authentification ou une clé matérielle. Ajoutez un code PIN auprès de votre opérateur mobile et des alertes de transfert de numéro pour réduire le risque de détournement de carte SIM. Supprimez les adresses et les numéros de téléphone obsolètes de vos profils auprès des transporteurs, désactivez les autorisations marketing inutiles et envisagez de supprimer les comptes que vous n’utilisez plus. Vérifiez le véritable domaine de l’expéditeur plutôt que de vous fier au nom affiché, car les filtres ne peuvent pas bloquer toutes les escroqueries. Les coordonnées restent utiles pendant des années : continuez donc à vérifier régulièrement leur exposition et la sécurité de vos comptes.

Une correspondance pour une adresse e-mail signifie qu’elle figurait dans le jeu de données non vérifié publié en mars 2022 et attribué à CDEK. Elle ne prouve ni que la personne était cliente de CDEK, ni que des données ont quitté les systèmes de l’entreprise, ni qu’un compte a été compromis, ni qu’un mot de passe a été exposé. Considérez-la comme un avertissement : examinez attentivement les e-mails et les messages téléphoniques concernant des livraisons, et vérifiez les sessions et les options de récupération de vos comptes importants. L’absence de correspondance ne garantit pas une sécurité absolue : vous avez peut-être utilisé une autre adresse, figuré uniquement dans un champ de numéro de téléphone ou de nom, ou été concerné par un autre jeu de données non vérifié. Les services de vérification ne couvrent que les données indexées. Conservez les mentions « attribué à CDEK » et « non vérifié »; ne présentez pas le résultat comme une fuite confirmée dans l’entreprise. Face à un message suspect, évaluez ensemble le véritable domaine de l’expéditeur, la destination du lien, la pression exercée pour vous faire agir et les demandes de paiement ou de codes de vérification.