ClixSense Fuite de données

Les données présentes dans la fuite de ClixSense peuvent affecter à la fois la sécurité du compte de l’utilisateur et son identité dans la vie réelle. Lorsqu’une adresse e-mail, un nom d’utilisateur et un mot de passe en clair sont réunis, un attaquant peut tenter de se connecter directement à d’autres services. Le stockage des mots de passe en clair est le plus risqué, car leur exploitation ne nécessite ni hachage ni tentative de deviner le mot de passe. Si l’utilisateur a employé le même mot de passe pour sa messagerie, ses réseaux sociaux, ses services de paiement ou d’autres sites de sondages, le risque ne se limite pas au compte ClixSense.

Des champs comme le nom, la date de naissance, le genre, l’adresse postale et l’adresse IP augmentent le risque d’ingénierie sociale. Le solde du compte, l’historique des paiements, le moyen de paiement et l’activité sur le site peuvent renseigner sur la manière dont l’utilisateur gagne de l’argent sur la plateforme. Ces informations permettent de créer de fausses notifications de paiement, de faux messages de remboursement du solde, de confirmation de récompense, de paiement de sondage ou de mise à jour du profil, ainsi que de faux formulaires fiscaux. Les informations personnelles et financières que les utilisateurs confient aux plateformes de revenus d’appoint en ligne peuvent rendre les messages des attaquants plus convaincants.

Le nombre vérifié de comptes concernés par cette fiche est de 2 424 784. Bien qu’il ait été rapporté que les attaquants évoquaient un ensemble de données plus vaste, cette fiche repose sur le périmètre des comptes vérifié et rendu public. La date de l’incident est indiquée comme étant le 4 septembre 2016. Les catégories de données se limitent au solde du compte, à la date de naissance, à l’adresse e-mail, au genre, à l’adresse IP, au nom, au mot de passe, à l’historique des paiements, au moyen de paiement, à l’adresse postale, au nom d’utilisateur et à l’activité sur le site.

Dans cette fiche, les numéros de carte de paiement, les numéros de compte bancaire, les documents d’identité officiels, les numéros de sécurité sociale et les données de santé ne font pas partie des catégories de données vérifiées. Le champ relatif au moyen de paiement doit être compris comme une information sur les préférences de paiement de l’utilisateur ou sur le type de paiement utilisé au sein de la plateforme. Il ne signifie pas qu’un numéro de carte ou un compte bancaire figure dans le périmètre vérifié. L’activité sur le site renvoie aux tâches, publicités, sondages ou mouvements du compte de l’utilisateur sur la plateforme. Le niveau de détail de ce champ ne doit pas être considéré comme identique pour tous les utilisateurs.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte ClixSense sur d’autres comptes. Puisque le mot de passe figure en clair, il est très facile pour un attaquant d’essayer les mêmes identifiants sur d’autres sites. Les comptes de messagerie, les services de paiement, les réseaux sociaux, les sites marchands et les autres plateformes de sondages ou de récompenses doivent être vérifiés en priorité. Si le compte de messagerie est compromis, les liens de réinitialisation des mots de passe d’autres comptes peuvent également tomber entre les mains de l’attaquant.

Le deuxième groupe à risque comprend les personnes qui utilisent régulièrement des plateformes de revenus d’appoint en ligne et y partagent des informations sur leurs moyens de paiement. Les soldes des comptes et l’historique des paiements peuvent indiquer qu’un utilisateur tire des revenus de la plateforme. Ces informations peuvent servir à créer de fausses demandes de paiement, notifications fiscales, propositions de transfert de récompenses ou messages de récupération du solde. Les utilisateurs dont l’adresse postale et la date de naissance sont présentes peuvent être ciblés par des messages d’hameçonnage plus personnalisés. Pour les entreprises, la réutilisation sur des comptes professionnels de mots de passe employés sur des comptes personnels de plateformes de récompenses constitue un risque de sécurité sérieux.

Le mot de passe utilisé pour ClixSense ne doit plus être considéré comme sûr. Vous devez modifier le mot de passe de tous les comptes sur lesquels vous utilisez ce même mot de passe ou un mot de passe similaire. Générez un mot de passe long et unique pour chaque service à l’aide d’un gestionnaire de mots de passe. Ajouter un chiffre à la fin de l’ancien mot de passe, changer une lettre ou reprendre une structure similaire ne suffit pas. Protégez en priorité vos comptes de messagerie, vos services de paiement, vos comptes de réseaux sociaux et les autres plateformes sur lesquelles vous gagnez de l’argent.

Activez l’authentification multifacteur sur votre compte de messagerie et vérifiez les sessions récentes, les appareils connectés, les adresses de récupération et les règles de transfert. Soyez attentif aux messages portant sur des paiements ou des sondages. Ne donnez pas suite aux demandes de remboursement du solde, de mise à jour du moyen de paiement, de formulaires fiscaux, de cartes-cadeaux ou de vérification du profil sans les avoir vérifiées par les canaux officiels. Les messages qui vous demandent votre mot de passe actuel, un code de vérification, des informations de carte ou des informations bancaires doivent être considérés comme présentant un risque élevé.

L’incident ClixSense montre que les plateformes de récompenses et de microtâches en ligne ne doivent pas être considérées comme présentant un faible risque pour les données personnelles. Des champs tels que le nom, l’adresse, la date de naissance, le moyen de paiement et le solde du compte peuvent y être réunis. À long terme, envisagez d’utiliser une adresse e-mail distincte pour les services de sondages et de récompenses, de supprimer les informations de profil inutiles et de fermer les comptes que vous n’utilisez plus. Ne partagez les informations relatives à vos moyens de paiement que lorsque cela est nécessaire et examinez régulièrement vos anciens enregistrements de paiement.

Pour une entreprise, le stockage des mots de passe en clair est inacceptable. Les mots de passe doivent être protégés par des méthodes de stockage robustes, modernes et lentes à calculer. Les droits d’accès, les anciens serveurs et les connexions aux bases de données doivent faire l’objet d’audits réguliers. Les données telles que les soldes des utilisateurs et l’historique des paiements doivent également être traitées dans le cadre de la sécurité des données personnelles. Les équipes de sécurité des entreprises doivent tenir compte du fait que les salariés peuvent réutiliser, sur leurs comptes professionnels, des mots de passe provenant de plateformes personnelles de revenus d’appoint. Elles doivent systématiser les vérifications de mots de passe divulgués et l’authentification multifacteur.

Une correspondance dans cette fiche indique que l’adresse e-mail concernée figure parmi les comptes associés à la fuite de données de ClixSense. Elle ne signifie pas que des informations de carte de paiement ou de compte bancaire sont incluses dans le périmètre vérifié de cette fiche. Le risque reste toutefois sérieux en raison de données telles que les mots de passe en clair, le solde du compte, l’historique des paiements et le moyen de paiement. Vérifiez d’abord que vous n’utilisez pas le même mot de passe sur d’autres comptes.

Après avoir changé vos mots de passe, vérifiez les sessions ouvertes sur vos comptes de messagerie et vos services de paiement. Fermez les sessions que vous ne reconnaissez pas, activez l’authentification multifacteur et mettez à jour vos options de récupération. Ne donnez pas suite aux messages portant sur des sondages, des récompenses, des remboursements du solde ou des mises à jour de paiement sans les avoir vérifiés par les canaux officiels. Même si cet incident est ancien, les mots de passe en clair et les informations liées aux paiements peuvent encore servir à des tentatives d’hameçonnage et de connexion automatisée de nombreuses années plus tard.