Fuite de données chez Chowbus

Dans un compte Chowbus, le nom, l’adresse e-mail, le numéro de téléphone et l’adresse postale peuvent être consultés ensemble. Ces quatre champs permettent à un attaquant de contacter directement l’utilisateur de manière personnalisée. L’adresse postale revêt une importance particulière dans le contexte de la livraison de repas et des restaurants de proximité, car les utilisateurs ont l’habitude de recevoir des messages concernant les livraisons, les commandes, les livreurs, les retours ou la vérification de leur adresse. Cette habitude peut rendre les faux messages plus convaincants. Le numéro de téléphone, quant à lui, accroît le risque de fraude par SMS et par appel.

Dans cet incident, la divulgation des mots de passe et des données de cartes de paiement n’ayant pas été confirmée, la nécessité immédiate de changer de mot de passe est moins forte que lors de fuites portant sur des identifiants de connexion. Toutefois, les utilisateurs peuvent être redirigés vers de fausses pages de connexion par des liens reçus par e-mail ou sur leur téléphone. Des messages utilisant le nom et l’adresse peuvent ressembler à une véritable alerte de livraison. Si d’autres informations, telles que le nom du restaurant, des renseignements sur la zone géographique ou les habitudes de livraison, sont obtenues auprès d’autres sources, l’attaque peut être encore davantage personnalisée. Ainsi, même si les champs dont la divulgation est confirmée sont limités, le risque est réel et son exploitation est plausible.

Le nombre confirmé de comptes touchés pour cette fiche correspond à 444 224 adresses e-mail uniques. Selon les informations rapportées, l’ensemble de données plus vaste associé à l’incident contenait plus de 800 000 enregistrements clients. Ce chiffre ne doit pas être interprété comme le nombre d’utilisateurs uniques, car il peut inclure des doublons ou plusieurs lignes relatives à une même personne. Des données de restaurants ont également été mentionnées dans le cadre de l’incident Chowbus. Toutefois, pour cette fiche, les catégories de données concernant les utilisateurs restent limitées au nom, à l’adresse e-mail, au numéro de téléphone et à l’adresse postale.

Les limites du périmètre doivent être particulièrement claires. Dans cette fiche, aucune divulgation n’est confirmée pour les mots de passe, les données de cartes de paiement, les comptes bancaires, les numéros d’identification officiels, le contenu des commandes, l’historique des paiements ou les préférences alimentaires. La présence d’une adresse postale indique que l’utilisateur pourrait être ciblé sur la base de sa localisation et dans le contexte d’une livraison. Elle ne signifie toutefois pas que ses informations de paiement ont été compromises. L’explication doit mettre en évidence les risques réels liés aux coordonnées et à l’adresse, sans susciter d’inquiétude inutile chez l’utilisateur.

Les utilisateurs les plus exposés sont ceux qui ont communiqué leur adresse de livraison et leur numéro de téléphone par l’intermédiaire de Chowbus. Ils peuvent être ciblés par de faux messages concernant le statut d’une livraison, la vérification de leur adresse, une communication avec un livreur, un coupon de restaurant ou une notification de retour. Lorsqu’une adresse e-mail et un numéro de téléphone figurent dans le même enregistrement, un attaquant peut utiliser plusieurs canaux de communication. Envoyer d’abord un e-mail, puis le faire suivre d’un SMS ou d’un appel peut rendre le message frauduleux plus crédible.

Les utilisateurs qui font fréquemment appel à des restaurants de proximité peuvent aussi être plus réceptifs aux campagnes ciblant leur région et aux messages concernant des commandes. La divulgation d’une adresse postale présente un risque pour la vie privée, en particulier pour les personnes qui utilisent leur adresse personnelle. Dans un contexte professionnel, l’utilisation de plateformes de livraison de repas par des salariés avec leur numéro de téléphone et leur adresse e-mail personnels peut entraîner la réception de messages d’ingénierie sociale pendant les heures de travail ou sur des appareils professionnels. Une fuite qui semble ne concerner que des comptes individuels doit donc aussi être examinée sous l’angle de la sécurité de l’organisation.

Ne cliquez pas directement sur les liens contenus dans des e-mails ou des SMS portant sur Chowbus ou la livraison de repas. Même si une notification concernant le statut d’une livraison, un remboursement, une vérification d’adresse ou un coupon semble authentique, vérifiez l’opération dans l’application officielle ou sur un nom de domaine connu. Même si votre interlocuteur affirme être un livreur, un restaurant ou le service client, ne lui communiquez aucun code à usage unique, mot de passe, renseignement de paiement ou autre information personnelle. Le fait qu’il connaisse votre nom et votre adresse ne prouve pas que l’appel est digne de confiance.

Si le mot de passe de votre compte Chowbus est également utilisé sur d’autres services, changez-le. Même si les mots de passe ne figurent pas parmi les catégories de données dont la divulgation est confirmée, leur réutilisation constitue toujours un risque distinct. Laissez les alertes de sécurité de votre compte e-mail activées et surveillez les connexions inattendues. Pour les comptes associés à un numéro de téléphone, privilégiez une application d’authentification plutôt qu’une vérification reposant uniquement sur les SMS. Faites également preuve d’une vigilance accrue face aux messages d’expédition, de livraison et de paiement qui mentionnent votre adresse.

Les plateformes de livraison de repas et de services de proximité sont couramment utilisées au quotidien, mais détiennent de nombreuses adresses et coordonnées. À long terme, supprimez les anciennes adresses devenues inutiles, fermez les comptes que vous n’utilisez plus sur ces plateformes et évitez, dans la mesure du possible, de laisser trop d’informations personnelles dans les instructions de livraison. Une adresse e-mail distincte pour les notifications promotionnelles et les notifications de commande peut mieux protéger votre compte e-mail principal. Si vous ne pouvez pas éviter de communiquer votre numéro de téléphone, redoublez de vigilance face aux appels et aux messages provenant de contacts inconnus.

Pour les fournisseurs de plateformes, cet incident montre à quelle vitesse la confiance des utilisateurs peut se perdre lorsque des données clients sont exportées en masse dans des fichiers. Les droits d’accès, le partage de fichiers, l’exportation des données clients et les procédures de notification après un incident doivent faire l’objet de contrôles stricts. Les organisations doivent également informer leurs salariés que de faux messages concernant une livraison, un livreur, un titre-restaurant ou une vérification d’adresse peuvent servir à des tentatives d’hameçonnage. Les formations doivent inclure les messages portant sur la vie quotidienne, car ceux-ci peuvent sembler moins suspects que les alertes bancaires ou les alertes liées à la messagerie habituelles.

Une correspondance dans cette fiche indique que l’adresse e-mail associée figure dans une liste d’adresses e-mail uniques liée à la fuite de données de Chowbus. Elle ne signifie pas que les champs relatifs aux mots de passe ou aux cartes de paiement font partie du périmètre confirmé de cette fiche. Le risque établi se limite aux champs du nom, de l’adresse e-mail, du numéro de téléphone et de l’adresse postale. Les utilisateurs doivent tenir compte du fait que ces données peuvent être exploitées dans de faux échanges liés à une livraison ou au service client.

La première mesure concrète consiste à vérifier les coordonnées et les adresses de votre compte Chowbus, à supprimer les anciennes adresses inutiles et à définir un mot de passe unique pour ce compte. Vérifiez ensuite, par le canal officiel, les messages concernant des livraisons reçus par e-mail ou sur votre téléphone. Lorsque des adresses personnelles peuvent avoir été exposées, méfiez-vous des demandes inattendues concernant un paiement à la livraison, un retour ou un livreur. Même si le risque ne porte pas sur une fuite directe de données de cartes de paiement, la fraude fondée sur l’adresse et les scénarios d’ingénierie sociale doivent être considérés comme des risques réalistes.