CloudPets Fuite de données

Les principales catégories de données vérifiées sont les adresses e-mail, les noms des membres de la famille et les mots de passe. Il a été rapporté que le champ du mot de passe contenait une empreinte au format bcrypt; cela ne signifie pas que chaque mot de passe était stocké sous une forme directement lisible. Les mots de passe faibles ou réutilisés présentent néanmoins un risque. Des sources indiquent également que des références à des photos et à des enregistrements vocaux associés aux profils d'enfants ont été exposées dans l'ensemble du système. Ce contexte supplémentaire rend l'incident CloudPets plus sensible qu'une simple liste de comptes.

Lorsque les noms des enfants, les liens familiaux et le contenu des messages vocaux sont réunis, le risque ne se limite pas à l'hameçonnage ou à la prise de contrôle de comptes. Les noms des membres de la famille peuvent servir à instaurer un climat de confiance dans le cadre d'une attaque d'ingénierie sociale. Les enregistrements vocaux et les références aux photos de profil doivent, quant à eux, être considérés comme des données touchant directement à la vie privée des enfants. L'incident présente donc un risque élevé de faux messages d'assistance destinés aux familles, de notifications de mise à jour des jouets, de demandes de récupération de compte ou de tentatives de manipulation liées au profil de l'enfant.

Le nombre de 583 503 comptes indiqué dans cette fiche correspond aux enregistrements pouvant être recherchés à partir d'une adresse e-mail. Le périmètre total du système librement accessible concerné par l'incident est plus large et porte sur plus de 821 000 enregistrements de comptes. Ces deux nombres ne doivent pas être confondus. Une correspondance indique que l'adresse e-mail concernée figure dans les données de comptes CloudPets pouvant être recherchées; les références à d'autres fichiers présentes dans l'ensemble du système doivent être évaluées séparément.

Les champs de données vérifiés sont les adresses e-mail, les noms des membres de la famille, les empreintes de mots de passe ainsi que les références à des images et à des messages audio associés au profil de l'enfant dans l'ensemble du système. Les données de carte de paiement, de compte bancaire, de numéro de pièce d'identité officielle, d'adresse physique ou de santé ne sont pas considérées comme des catégories de données vérifiées. Bien que l'entreprise ait nié le vol direct d'enregistrements audio, des analyses indépendantes ont montré que l'architecture du système pouvait révéler les chemins d'accès aux fichiers d'enregistrement et que les données avaient fait l'objet de demandes de rançon.

Les utilisateurs les plus exposés sont les parents ayant créé un compte CloudPets, les familles ayant ajouté un profil d'enfant et les personnes ayant utilisé le même mot de passe sur d'autres comptes. En associant une adresse e-mail au nom d'un membre de la famille, les attaquants peuvent créer des messages plus convaincants. Par exemple, des messages se présentant comme une mise à jour du jouet, une restauration de messages vocaux, une vérification du profil de l'enfant ou une alerte de sécurité du compte parental peuvent inciter l'utilisateur à ouvrir un lien ou à communiquer son mot de passe.

La présence de noms d'enfants et le contexte des messages vocaux font peser le risque sur toute la famille. Même si le compte du parent semble sécurisé, le nom de l'enfant ou les informations sur les liens familiaux peuvent être utilisés à des fins malveillantes. Les utilisateurs qui choisissent des mots de passe faibles ou réutilisent le même mot de passe pour leurs comptes de messagerie, de réseaux sociaux, d'achat ou de jeux sont davantage exposés à une prise de contrôle de leurs comptes. De plus, même si un ancien compte lié à un jouet a été oublié, la combinaison d'adresse e-mail et de mot de passe utilisée à l'époque peut encore être valable sur d'autres services.

Si vous constatez une correspondance dans cette fiche, changez le mot de passe que vous utilisiez pour CloudPets ainsi que ceux de tous les comptes sur lesquels vous avez utilisé un mot de passe identique ou similaire. Protégez en priorité votre compte de messagerie, activez l'authentification multifacteur et examinez les sessions récentes. Si vous continuez à utiliser votre ancien mot de passe sur d'autres comptes en n'y apportant que de légères modifications, abandonnez toutes les variantes de ce mot de passe. Un gestionnaire de mots de passe facilite à la fois la création de mots de passe uniques et le suivi des anciens.

Les familles doivent se méfier des messages inattendus faisant référence au nom d'un enfant, à des comptes liés à des jouets, à des messages vocaux ou à des photos de profil. N'ouvrez pas directement les liens qui prétendent permettre de récupérer un compte CloudPets, de télécharger des enregistrements vocaux, de supprimer un profil d'enfant, de rétablir la connexion d'un jouet ou d'effectuer une vérification de sécurité. Si une intervention est nécessaire, saisissez vous-même le nom de domaine connu du service ou procédez à une vérification par un canal de confiance. Ne communiquez aucune information à une personne qui vous demande le nom, la photo ou un enregistrement vocal d'un enfant, ou les renseignements de son compte.

L'incident CloudPets montre à quel point les données collectées par les jouets connectés peuvent être sensibles pour la vie privée des familles. Les familles devraient communiquer le moins d'informations possible sur les jouets connectés à Internet, les applications pour enfants et les comptes associés à des appareils intelligents. Le nom réel, la date de naissance, la photo, les enregistrements vocaux et les liens familiaux d'un enfant ne devraient être utilisés que si cela est nécessaire et si les mécanismes de sécurité sont bien compris. Les comptes de jouets et d'applications pour enfants qui ne sont plus utilisés devraient être fermés, ou les informations de profil qu'ils contiennent devraient être réduites.

À long terme, les parents devraient prendre en compte le stockage des données, les autorisations de connexion, la sécurité des comptes et l'assistance du fabricant dans leurs décisions d'achat d'appareils destinés aux enfants. Si un appareil utilise un microphone, une caméra, Bluetooth ou une connexion Internet, il convient de vérifier où les données collectées sont stockées et comment elles peuvent être supprimées. Une fois exposées, les données d'un enfant ne peuvent pas être facilement modifiées comme un mot de passe. La protection ne doit donc pas se limiter à réagir après un incident : elle doit aussi intégrer le choix des appareils et une stratégie de minimisation des données.

La présence d'une correspondance dans cette fiche indique que l'adresse e-mail concernée figure parmi les comptes pouvant être recherchés dans le cadre de la fuite de données de CloudPets. Cette correspondance appelle des mesures pour protéger l'adresse e-mail, le nom du membre de la famille et le mot de passe; les références à d'autres fichiers présentes dans l'ensemble du système doivent faire l'objet d'une évaluation distincte de leur périmètre. L'incident concernant des données sur les enfants et les familles, l'évaluation des risques doit porter non seulement sur le titulaire du compte, mais aussi sur la vie privée des enfants du foyer.

Commencez par rendre chacun de vos mots de passe unique, renforcer la sécurité de votre compte de messagerie et envisager la fermeture de vos anciens comptes de jouets ou d'applications pour enfants. Ne donnez pas suite aux messages faisant référence au nom d'un enfant, à un enregistrement vocal, à un compte lié à un jouet ou à une photo de profil sans les avoir vérifiés par un autre canal. Même si l'incident est ancien, les données relatives aux liens familiaux et au profil d'un enfant peuvent présenter un risque d'ingénierie sociale à long terme. Toute correspondance doit donc être considérée comme nécessitant une action hautement prioritaire pour la sécurité et la protection de la vie privée.