Fuite de données chez CoinTracker

Le principal type de données figurant dans la fiche CoinTracker est l’adresse e-mail. Celle-ci constitue un indice fort d’un lien possible entre l’utilisateur et un service de suivi de portefeuille de cryptomonnaies ou de suivi fiscal. Cette information peut servir à envoyer de faux messages concernant des rapports fiscaux, des mises à jour de portefeuille d’investissement, la vérification d’un portefeuille numérique, l’association à une plateforme d’échange, des airdrops, des alertes de sécurité ou la confirmation d’un compte. Les utilisateurs de cryptomonnaies étant souvent considérés comme des cibles à forte valeur, une simple adresse e-mail peut déjà présenter un intérêt pour les attaquants.

Le champ contenant un numéro de téléphone partiel doit être interprété avec davantage de prudence. Bien que sa présence ait été signalée dans des jeux de données, CoinTracker a déclaré ne pas collecter de numéros de téléphone et précisé que ces champs ne provenaient pas de son service. Un numéro de téléphone partiel n’est pas aussi directement exploitable qu’un numéro complet; toutefois, son rapprochement avec d’autres jeux de données peut faciliter la constitution d’un profil d’utilisateur. Dans ce cas, la présence de mots de passe, de clés de portefeuilles de cryptomonnaies, de soldes de portefeuilles d’investissement ou de données de comptes financiers n’ayant pas été confirmée, le risque concerne des messages ciblés plutôt qu’une perte directe d’actifs.

Le nombre confirmé de comptes touchés dans cette fiche est de 1 557 153. La date de l’incident est enregistrée au 1er décembre 2022. Les catégories de données sont les adresses e-mail et les numéros de téléphone partiels. L’incident étant lié à un service d’envoi d’e-mails tiers, les portefeuilles d’investissement et les données fiscales des utilisateurs de la plateforme principale CoinTracker ne doivent pas être présentés comme faisant partie de cette fiche. Celle-ci doit être considérée comme une fuite de coordonnées pouvant indiquer un lien entre l’utilisateur et CoinTracker.

Dans cette fiche, les mots de passe, les empreintes de phrases secrètes, les clés privées de portefeuilles de cryptomonnaies, les phrases de récupération, les soldes de portefeuilles d’investissement, les historiques de transactions, les formulaires fiscaux, les cartes de paiement, les comptes bancaires et les pièces d’identité officielles ne sont pas des catégories de données dont la présence est confirmée. Il est compréhensible que les utilisateurs de CoinTracker s’inquiètent pour ces éléments compte tenu du contexte lié aux cryptomonnaies; toutefois, une gestion rigoureuse de la fiche exige de ne pas y ajouter de données financières ou de portefeuilles numériques dont la présence n’a pas été vérifiée. Le risque tient à la fraude ciblée rendue possible par l’association de coordonnées au contexte des cryptomonnaies.

Les utilisateurs les plus exposés sont ceux qui emploient la même adresse e-mail pour CoinTracker et pour des plateformes d’échange de cryptomonnaies, des services de portefeuilles numériques, des outils comptables ou des communautés d’investisseurs. La réutilisation d’une même adresse sur différents services liés aux cryptomonnaies permet aux attaquants d’identifier plus facilement l’utilisateur comme un détenteur de cryptoactifs ou une personne qui suit sa fiscalité. Cette information peut servir à envoyer de faux avertissements à l’approche des déclarations fiscales, ou des messages concernant l’association de portefeuilles d’investissement, le rapprochement de portefeuilles numériques ou la vérification de comptes.

Le deuxième groupe à risque est constitué des utilisateurs peu familiarisés avec les aspects techniques de la déclaration fiscale des cryptomonnaies et du suivi de portefeuille. Ils peuvent être ciblés par de faux messages tels que « votre rapport fiscal est prêt », « votre portefeuille numérique n’est plus connecté », « votre portefeuille d’investissement est en danger » ou « votre compte est en attente de vérification ». Les utilisateurs en entreprise doivent également faire preuve de prudence : les salariés qui s’inscrivent à un outil de suivi fiscal ou de portefeuille de cryptomonnaies avec leur adresse e-mail professionnelle peuvent recevoir des messages d’hameçonnage sur ce thème dans leur messagerie de travail. Même si ces messages visent des actifs personnels, leur ouverture sur des appareils professionnels peut présenter un risque pour l’entreprise.

Si vous constatez une correspondance dans la fiche CoinTracker, vérifiez d’abord la sécurité de votre compte de messagerie. Utilisez un mot de passe robuste et unique, activez l’authentification multifacteur et examinez les sessions récentes. La présence de mots de passe dans les données de cet incident n’est pas confirmée; la sécurité de la messagerie reste néanmoins prioritaire, car des liens d’hameçonnage peuvent permettre de dérober des mots de passe ou des informations sur vos portefeuilles numériques. Maintenez également l’authentification multifacteur activée sur vos comptes CoinTracker et sur les plateformes d’échange de cryptomonnaies.

Examinez attentivement les liens contenus dans les messages concernant CoinTracker, les déclarations fiscales, le rapprochement de portefeuilles d’investissement, les connexions aux plateformes d’échange de cryptomonnaies, la vérification de portefeuilles numériques ou les airdrops. Si vous devez effectuer une transaction, saisissez directement l’adresse du service concerné dans votre navigateur ou utilisez un favori de confiance. Ne saisissez pas de clés privées, de phrases de récupération, de codes de vérification ou de mots de passe de plateformes d’échange sur des pages ouvertes depuis des liens reçus par e-mail. Les services légitimes de cryptomonnaies ne demandent ni clés privées ni phrases de récupération. Faites également preuve de prudence face à des demandes similaires reçues par SMS du fait de la présence d’informations téléphoniques partielles.

Même les coordonnées associées aux outils de suivi fiscal et de portefeuille de cryptomonnaies peuvent être sensibles, car elles révèlent les intérêts financiers de l’utilisateur. À long terme, une adresse e-mail distincte pour les services liés aux cryptomonnaies peut vous aider à séparer les messages ciblés de votre messagerie principale. Protégez cette adresse avec un mot de passe robuste, l’authentification multifacteur et un contrôle régulier des sessions. Fermez les comptes sur les outils de cryptomonnaies inutilisés, désabonnez-vous des lettres d’information et supprimez les associations de portefeuilles dont vous ne vous servez plus, ou réduisez au moins les autorisations de notification.

Pour les organisations, la sécurité des prestataires tiers est aussi importante que celle de l’application principale. Des fuites touchant les systèmes d’envoi d’e-mails, les listes de contacts clients ou les outils marketing peuvent déclencher des attaques ciblées, même si les données financières ne sont pas directement concernées. Pour les utilisateurs, la stratégie durable consiste à employer un mot de passe unique pour chaque service lié aux cryptomonnaies, à utiliser l’authentification multifacteur, à vérifier les e-mails suspects et à prendre l’habitude de ne jamais saisir de clés privées dans un formulaire en ligne. Cette discipline permet de mieux maîtriser les risques liés aux fuites de coordonnées.

Une correspondance dans cette fiche indique que l’adresse e-mail concernée figure parmi les comptes associés à l’incident CoinTracker. Elle ne signifie pas que les cryptoactifs, les soldes des portefeuilles d’investissement, les rapports fiscaux, le mot de passe ou les clés des portefeuilles numériques de l’utilisateur font partie du périmètre confirmé de cette fiche. Ce périmètre se limite à l’adresse e-mail et au champ contenant un numéro de téléphone partiel répertorié dans les jeux de données issus de la fuite.

Après avoir sécurisé votre compte de messagerie et votre compte CoinTracker, vérifiez les paramètres de sécurité de vos comptes sur les plateformes d’échange de cryptomonnaies et les services de portefeuilles numériques. Tout message inattendu concernant un rapport fiscal, une alerte sur votre portefeuille d’investissement, une connexion à une plateforme d’échange ou la vérification d’un portefeuille numérique doit être vérifié par les canaux officiels. Traitez également avec prudence les liens reçus par SMS, car les informations téléphoniques partielles pourraient être rapprochées d’autres jeux de données. Face à cette situation, la bonne réaction n’est pas de paniquer pour vos finances, mais de renforcer la sécurité de votre messagerie et votre vigilance à l’égard des messages liés aux cryptomonnaies.