Fuite de données chez ClickASnap

Dans l’incident ClickASnap, les adresses e-mail, les noms d’utilisateur et les empreintes de mots de passe constituent les principaux facteurs de risque pour la sécurité des comptes. Une adresse e-mail associée à un nom d’utilisateur forme une paire d’identifiants que des attaquants peuvent exploiter pour repérer des comptes, tenter de réinitialiser des mots de passe et mener des tentatives d’hameçonnage ciblées. Même si les mots de passe sont sous forme d’empreintes SHA-512, un mot de passe court, prévisible ou déjà utilisé sur un autre service peut être retrouvé au fil du temps à partir de son empreinte. La réutilisation des mots de passe constitue donc l’un des risques pratiques les plus importants de cet incident.

Les informations liées aux abonnements payants, comme le nom, l’adresse postale et le montant payé, créent un autre niveau de risque. Elles peuvent permettre de savoir quel créateur de contenu l’utilisateur rémunère sur la plateforme ou à quel abonnement il a souscrit. Elles peuvent servir à élaborer de faux messages concernant des paiements, des renouvellements d’abonnement, des confirmations de revenus, des formulaires fiscaux, des paiements de ventes de photos ou des vérifications de compte. Les profils sur les réseaux sociaux peuvent également permettre de relier l’identité de photographe de l’utilisateur à ses autres profils en ligne. Cette situation présente un risque pour la vie privée, en particulier pour les créateurs de contenu qui utilisent un pseudonyme.

Le nombre vérifié de comptes touchés dans cette fiche est de 3 262 980. La date de l’incident est indiquée comme étant le 24 septembre 2022. Les champs vérifiés sont les adresses e-mail, les noms d’utilisateur, les empreintes de mots de passe, les noms, les adresses postales, les données d’achat ou d’abonnement et les profils sur les réseaux sociaux. Il faut souligner que les noms, les adresses et les montants payés peuvent être limités aux données d’abonnement payant; il ne faut pas supposer que ces champs sont présents pour chaque utilisateur. Un compte utilisateur ordinaire ne doit pas être considéré comme relevant du même périmètre qu’un enregistrement d’abonnement payant.

Cette fiche ne comporte aucune catégorie de données vérifiée concernant les contenus photographiques, les métadonnées des photos, les numéros de carte bancaire, les informations bancaires, les documents d’identité officiels ou les soldes des revenus directement perçus sur la plateforme. Même si des descriptions plus générales mentionnent d’autres champs, la liste des catégories de données de cette fiche doit se limiter à ceux dont la présence peut être étayée. Plutôt que d’affirmer de manière générale que « des informations financières ont été divulguées », il serait plus exact d’expliquer que « le montant payé figurait dans les données d’abonnement ou d’achat ».

Les utilisateurs les plus exposés sont ceux qui utilisent le mot de passe de leur compte ClickASnap sur d’autres plateformes. Les comptes de communautés photographiques, les comptes sur les réseaux sociaux, les comptes de messagerie et les notifications de paiement doivent être vérifiés en priorité. Les personnes qui réutilisent leur nom d’utilisateur sur plusieurs sites de photographie ou profils de réseaux sociaux sont davantage exposées au risque de rapprochement entre profils. Lorsque le nom d’utilisateur apparaît avec des informations de profil sur les réseaux sociaux, un attaquant peut retrouver la même personne sur différentes plateformes.

Les utilisateurs ayant un abonnement payant ou utilisant la plateforme en tant que créateurs de contenu sont également plus vulnérables aux attaques reposant sur de fausses notifications de paiement, de revenus, de renouvellement d’abonnement ou d’ordre fiscal. Pour les personnes dont l’adresse postale figure dans les données enregistrées, les messages de vérification d’adresse, d’expédition, de facturation ou de notification d’abonnement peuvent sembler plus convaincants. Le risque pour la vie privée est également important pour les photographes professionnels ou semi-professionnels : la présence d’un nom réel, d’une adresse et d’un profil sur les réseaux sociaux dans un même enregistrement peut faciliter le rapprochement entre leur identité créative en ligne et des informations sur leur vie réelle.

Changez le mot de passe de votre compte ClickASnap. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, sur d’autres comptes, remplacez-le également sur chacun d’eux par un mot de passe distinct et robuste. Donnez la priorité aux comptes de messagerie, aux profils sur les réseaux sociaux, aux sites de partage de photos, aux notifications de paiement et aux services de stockage dans le cloud. Un gestionnaire de mots de passe facilite la création d’un mot de passe unique pour chaque service. Le recours au hachage SHA-512 ne rend pas sûre la réutilisation d’un mot de passe faible.

Vérifiez les applications connectées et les sessions de vos comptes sur les réseaux sociaux. Supprimez les connexions inconnues et activez l’authentification multifacteur. Examinez attentivement les liens contenus dans les messages concernant ClickASnap, les ventes de photos, les abonnements, le versement de revenus, les avis relatifs aux droits d’auteur ou la vérification de compte. Même si le numéro de carte bancaire ne fait pas partie des champs vérifiés dans cette fiche, les messages qui vous demandent des informations de carte bancaire ou des coordonnées bancaires doivent être considérés comme présentant un risque élevé. Si vous devez effectuer une transaction, accédez directement à la plateforme à partir d’une adresse connue.

La sécurité des comptes sur les plateformes de création de contenu ne se limite pas à la protection des mots de passe : l’identité réelle, les informations liées aux paiements et les liens vers les profils sur les réseaux sociaux doivent être pris en compte ensemble. À long terme, utilisez des mots de passe différents pour vos comptes de partage de photos, de vente, de réseaux sociaux et de messagerie. Si vous utilisez un pseudonyme, ne communiquez votre nom réel et votre adresse que dans les champs où ces informations sont obligatoires, et ne laissez pas d’informations personnelles superflues sur vos profils publics. Vérifiez régulièrement les anciens enregistrements d’abonnement et de paiement.

Du côté des plateformes, les abonnements payants et les données des créateurs de contenu nécessitent des protections distinctes. Lorsque des données utilisateur, des montants payés et des liens vers des profils sur les réseaux sociaux sont exposés dans un même incident, les attaquants peuvent élaborer des scénarios plus convaincants. Les autorisations d’accès, les contrôles des exports, les méthodes de stockage des mots de passe et les procédures de notification des incidents doivent donc être testés régulièrement. De votre côté, considérez vos comptes de communautés photographiques non comme de simples comptes de loisir à faible risque, mais comme des comptes liés à votre image professionnelle et à vos sources de revenus.

Une correspondance dans cette fiche indique que l’adresse e-mail concernée figure parmi les comptes associés à la fuite de données de ClickASnap. Elle ne signifie pas que votre carte bancaire, votre compte bancaire ou vos fichiers photo font partie du périmètre vérifié de cette fiche. Le risque concerne des champs tels que l’adresse e-mail, le nom d’utilisateur, l’empreinte du mot de passe, le profil sur les réseaux sociaux et, dans certains enregistrements d’abonnement payant, le nom, l’adresse et le montant payé. Commencez par mettre fin à toute réutilisation de mot de passe et par sécuriser votre compte de messagerie.

L’étape suivante consiste à examiner les connexions de vos profils sur les réseaux sociaux et de vos comptes de créateur de contenu. Fermez les sessions inconnues, retirez les applications liées et activez l’authentification multifacteur. Ne donnez pas suite aux messages concernant des abonnements ou des paiements sans les avoir vérifiés par le canal officiel. Si votre adresse postale a pu figurer dans les données d’abonnement payant, méfiez-vous des faux messages de facturation, de livraison ou de vérification de compte.