Fuite de données chez Chatbooks

Le principal risque dans le cas de Chatbooks tient à la possibilité de rattacher le nom, l’adresse e-mail, le numéro de téléphone et les informations du profil sur les réseaux sociaux à un même utilisateur. Cette combinaison permet aux attaquants d’envoyer des messages qui semblent crédibles aux yeux de leur destinataire. Dans le contexte d’un service de livres photo et d’impression de photos souvenirs, les escroqueries autour de la famille, des occasions particulières, des cadeaux, des commandes et des livraisons peuvent paraître plus convaincantes. Les utilisateurs dont le numéro de téléphone figure dans les données peuvent être ciblés par SMS ou par appel; ceux dont le profil sur les réseaux sociaux est présent risquent d’être suivis, de subir une usurpation d’identité ou de voir leurs profils mis en relation d’une plateforme à l’autre.

Le stockage des mots de passe sous forme d’empreintes de hachage SHA-512 avec sel offre une meilleure protection qu’une fuite de mots de passe en clair, mais ne suffit pas à lui seul à assurer leur sécurité. Les mots de passe courts, prévisibles ou déjà apparus dans d’autres fuites peuvent encore être retrouvés par cassage des empreintes. Le risque augmente si vous avez réutilisé le même mot de passe pour vos comptes de messagerie, de réseaux sociaux, de services photo, d’achat en ligne ou de stockage dans le cloud. Il faut également tenir compte des informations faisant état de jetons d’accès aux réseaux sociaux dans une petite partie des enregistrements : même s’ils sont invalides ou expirés, ces champs peuvent aider les attaquants à comprendre les connexions aux réseaux sociaux et les liens entre les comptes.

Le nombre de comptes concernés indiqué pour cette fiche est de 2 520 441. Le chiffre plus élevé d’environ 15 millions d’enregistrements correspond au volume total de lignes ou d’objets dans le jeu de données; il ne doit pas être interprété comme le nombre d’utilisateurs distincts. Les catégories de données vérifiées comprennent les noms, les adresses e-mail, les numéros de téléphone, les profils sur les réseaux sociaux et les empreintes de mots de passe, auxquelles s’ajoute un risque limité lié aux jetons d’accès. Il convient de souligner que les mots de passe ne sont pas en clair, mais sous forme d’empreintes de hachage SHA-512 avec sel.

Pour cette fiche, aucun élément vérifié n’atteste de la présence de fichiers photo, d’albums familiaux, de métadonnées de photos, de cartes de paiement, d’informations bancaires, d’adresses postales ou de numéros de pièces d’identité officielles. Le fait que Chatbooks soit un service centré sur la photographie ne signifie pas que le contenu des photos figure parmi les champs de données vérifiés de cette fiche. La description doit maintenir cette distinction, faute de quoi elle présenterait à l’utilisateur un risque supérieur au périmètre réel. Les informations sur les profils de réseaux sociaux et les éventuels jetons d’accès ne doivent pas être confondus avec le contenu des photos; ils doivent être considérés comme un risque distinct lié aux connexions entre comptes.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte Chatbooks sur d’autres comptes. Les comptes de messagerie, de réseaux sociaux, de stockage de photos dans le cloud et d’achat en ligne doivent être vérifiés en priorité. Les services d’impression de photos étant souvent associés aux proches, aux occasions particulières et aux cadeaux, les attaquants peuvent préparer des messages qui jouent sur les émotions. Par exemple, des intitulés évoquant une notification de commande, un lien vers un album familial, une alerte d’expédition ou une réduction sur un cadeau peuvent servir à vous inciter à cliquer sur un lien.

Les utilisateurs dont le numéro de téléphone ou le profil sur les réseaux sociaux figure dans les données d’inscription sont également exposés à un ciblage sur plusieurs canaux. Un attaquant peut d’abord envoyer un e-mail, puis un SMS ou un message sur un réseau social pour renforcer l’impression que le premier message est légitime. Lorsque le compte de réseau social est public, des informations sur les proches, les listes d’amis, les habitudes de partage de photos et les occasions particulières peuvent aussi être visibles. Le risque ne se limite donc pas au compte Chatbooks : votre visibilité sur les autres plateformes compte également.

Changez le mot de passe de votre compte Chatbooks et définissez de nouveaux mots de passe uniques pour tous les comptes sur lesquels vous avez utilisé le même. Même si le mot de passe n’a pas fuité en clair, un mot de passe faible ou réutilisé peut finir par être retrouvé par cassage, puis essayé sur d’autres services. Un gestionnaire de mots de passe facilite la création de mots de passe longs et différents pour chaque service. Protégez en priorité vos comptes de messagerie et de réseaux sociaux, car ils servent à réinitialiser les mots de passe et à vous authentifier auprès d’autres services.

Activez l’authentification à deux facteurs sur vos comptes de messagerie et de réseaux sociaux. Méfiez-vous des liens contenus dans des messages inattendus concernant Chatbooks, l’impression de photos, une expédition, une réduction, des albums familiaux ou des cadeaux. Vérifiez les applications connectées, les sessions autorisées et les accès de tiers sur vos comptes de réseaux sociaux. Supprimez les applications que vous ne reconnaissez pas, fermez les anciennes sessions et gardez les alertes de sécurité activées. Ne communiquez jamais de code de vérification ou de mot de passe en réponse à une demande reçue par téléphone.

Les services de photographie et de souvenirs touchent à la vie privée des utilisateurs; la sécurité des comptes ne doit donc pas être considérée comme une simple question technique. À long terme, utilisez des mots de passe robustes et distincts pour vos comptes liés à la famille, à la photographie, au stockage dans le cloud et aux réseaux sociaux. Supprimez régulièrement les connexions inutiles des services liés aux réseaux sociaux et n’autorisez que les applications que vous utilisez activement. Examinez périodiquement les possibilités de fermeture de compte ou de suppression des données.

Pour les organisations, de telles violations de données montrent que les données personnelles conservées dans les services de connexion et de photographie liés aux réseaux sociaux doivent être soigneusement classées. Les jetons d’accès, les empreintes de mots de passe et les liens entre profils doivent être protégés par des dispositifs de sécurité distincts. Pour les utilisateurs, la stratégie la plus pratique consiste à dissocier autant que possible les comptes partagés dans le cadre de moments sensibles et de services destinés aux familles de leurs comptes de réseaux sociaux, à limiter les autorisations des comptes et à vérifier par les canaux officiels les messages inattendus concernant des photos ou des livraisons.

Une correspondance dans cette fiche indique que l’adresse e-mail concernée figure dans la liste d’adresses e-mail uniques suivie dans le cadre de la fuite de données Chatbooks. Elle ne signifie pas que vos photos ou vos albums familiaux ont été compromis. Le risque vérifié concerne des champs tels que le nom, l’adresse e-mail, le numéro de téléphone, le profil sur les réseaux sociaux et l’empreinte de mot de passe, ainsi qu’un risque limité lié aux jetons d’accès. Commencez par changer les mots de passe des comptes sur lesquels vous avez pu réutiliser le même mot de passe et par vérifier les connexions aux réseaux sociaux.

L’étape suivante consiste à rester durablement vigilant face aux messages frauduleux autour des photos et des réseaux sociaux. Les messages évoquant une expédition, un livre photo, une réduction pour une occasion particulière ou un lien vers un album familial doivent être vérifiés dans l’application officielle ou sur le domaine officiel, même s’ils semblent légitimes. Redoublez de prudence avec les liens reçus par SMS, car votre numéro de téléphone peut avoir figuré dans les données d’inscription. Si vous repérez des sessions ou des applications connectées que vous ne reconnaissez pas sur vos comptes de réseaux sociaux, supprimez-les et changez à nouveau le mot de passe.