Fuite de données chez Color Dating

Les catégories de données vérifiées sont les biographies, les dates de naissance, les adresses e-mail, les informations de localisation géographique, les noms, les empreintes de mots de passe et les photos de profil. Les champs de biographie peuvent contenir les centres d’intérêt de l’utilisateur, ses attentes en matière de relation, ses préférences personnelles ou un texte libre de présentation. Les champs de texte libre présentent davantage de risques que les champs standard d’un formulaire, car les utilisateurs peuvent y inclure, sans en avoir conscience, des indices supplémentaires sur leur emploi, leur établissement scolaire, leur ville de résidence, leur compte sur un réseau social, leurs habitudes privées ou leur famille.

Associés à une adresse e-mail, le nom et la date de naissance peuvent servir à deviner les réponses aux questions d’authentification, à créer de faux comptes et à tenter des fraudes ciblées. Les informations de localisation géographique, notamment dans le contexte des applications de rencontres, peuvent permettre de déduire le secteur où l’utilisateur vit ou se rend fréquemment. Les photos de profil présentent quant à elles des risques liés à la reconnaissance faciale, à la recherche inversée d’images, au rapprochement avec des comptes sur les réseaux sociaux et à la création de faux profils. L’incident doit donc être évalué non seulement sous l’angle de la sécurité des mots de passe, mais aussi sous celui des risques pour la vie privée et la réputation.

Cette fiche repose sur 220 503 adresses e-mail uniques. Le nombre de lignes indiqué dans certaines listes secondaires peut être différent. Toutefois, le périmètre retenu ici pour la recherche d’utilisateurs reste fondé sur les adresses e-mail uniques. L’incident est lié à la fuite de Color Dating de septembre 2018, et les données auraient ensuite refait surface dans une compilation plus vaste de données issues de fuites. Ainsi, même si l’incident est ancien, une nouvelle diffusion des données peut maintenir le risque pour les utilisateurs.

Les catégories de champs vérifiées sont la biographie, la date de naissance, l’adresse e-mail, la localisation géographique, le nom, le mot de passe et la photo de profil. Le champ du mot de passe doit être considéré comme une empreinte protégée par bcrypt; cette seule indication ne signifie pas que les mots de passe sont publiés sous une forme déchiffrée. Dans cette fiche, les données de carte de paiement, de compte bancaire, les numéros de passeport ou de pièce d’identité officielle, le contenu des messages privés et les numéros de téléphone ne font pas partie des catégories de données vérifiées. Il est important de préciser ces limites pour informer correctement l’utilisateur des risques réels, sans provoquer de panique inutile.

Les personnes les plus exposées sont celles qui indiquent sur leur compte Color Dating leur vrai nom, leur adresse e-mail principale, une photo de profil nette et la région où elles vivent. Les informations utilisées sur les applications de rencontres pouvant être directement liées à la vie privée, les utilisateurs peuvent subir des tentatives ciblées visant à les embarrasser, des approches simulant une proximité intime, des usurpations d’identité ou des tentatives d’ingénierie sociale. L’utilisation de la même adresse e-mail pour le travail, les services bancaires, les réseaux sociaux ou d’autres inscriptions facilite également le rapprochement de différents comptes par les attaquants.

Le risque est plus élevé pour les utilisateurs qui réutilisent leur mot de passe sur d’autres services. Bien que le format d’empreinte bcrypt complique la tâche des attaquants, les mots de passe faibles, courts ou déjà divulgués peuvent toujours faire l’objet d’attaques par force brute. Les utilisateurs dont la date de naissance et la localisation figurent dans les données peuvent être trompés par de fausses offres d’anniversaire, des invitations à des événements locaux ou des messages semblant provenir de connaissances. Pour les personnes disposant d’une photo de profil, il faut également tenir compte du risque que cette photo serve à créer un faux profil sur un réseau social ou une application de rencontres.

Si vous trouvez une correspondance dans cette fiche, vous devriez commencer par changer le mot de passe utilisé pour Color Dating ainsi que ceux des comptes sur lesquels vous avez pu utiliser le même mot de passe. Le nouveau mot de passe doit être propre à chaque service, long et difficile à deviner. Activez l’authentification multifacteur sur votre compte de messagerie et vérifiez les sessions récentes ainsi que les règles de transfert des messages. Si vous utilisez la même adresse e-mail pour vous connecter à des comptes de réseaux sociaux, d’achats en ligne, de services financiers ou professionnels, examinez également les notifications de sécurité et les traces de sessions suspectes sur ces comptes.

Compte tenu du contexte de l’application de rencontres, accordez une attention particulière aux messages reçus. Ne considérez pas automatiquement comme véridiques les messages faisant référence à d’anciennes informations de profil, à des photos, à votre date de naissance ou à votre lieu de résidence, même s’ils semblent dignes de confiance. Avant d’ouvrir un lien envoyé sous prétexte d’une rencontre, d’une vérification de compte, du retrait d’une photo, de la clôture d’une réclamation ou du rétablissement d’une adhésion, vérifiez sa légitimité par un moyen indépendant. Ne transmettez pas de photos personnelles, de pièces d’identité, de codes de vérification ou d’informations financières aux personnes qui vous les demandent.

L’incident de Color Dating montre que les informations de profil partagées sur les applications de rencontres et de découverte de nouvelles personnes peuvent avoir des conséquences pour l’utilisateur, même des années plus tard. Évitez de partager trop largement votre vrai nom, votre date de naissance, votre localisation précise, votre lieu de travail, votre établissement scolaire et vos comptes sur les réseaux sociaux sur ces applications. Lorsque vous choisissez vos photos de profil, gardez à l’esprit que l’utilisation des mêmes images sur d’autres plateformes peut faciliter le rapprochement entre vos profils et votre identité. Fermez ou mettez à jour vos anciens comptes, et réduisez autant que possible les informations de profil présentes sur les applications que vous n’utilisez plus.

La gestion des mots de passe est un élément essentiel de la protection à long terme. Utiliser un mot de passe unique pour chaque service, générer des mots de passe robustes avec un gestionnaire de mots de passe et protéger le compte de messagerie par une vérification supplémentaire permettent de limiter les répercussions en chaîne de telles fuites. Vérifiez également de temps à autre si de faux profils ont été créés avec votre nom, vos photos ou votre adresse e-mail. Dans cet incident, les données vérifiées concernent particulièrement la vie privée : la sécurité technique des comptes, la réputation en ligne et la sécurité personnelle doivent donc être prises en compte conjointement.

Une correspondance dans cette fiche indique que l’adresse e-mail concernée figure parmi les adresses e-mail uniques relevées dans la fuite de Color Dating. Cela ne signifie pas nécessairement que tous les détails de votre profil sont accessibles au public. Toutefois, compte tenu des catégories de données associées à cette fiche, vous devriez faire preuve de prudence concernant votre biographie, votre nom, votre date de naissance, votre localisation, votre photo de profil et la sécurité de votre mot de passe. N’attendez pas pour agir, surtout si vous utilisez la même adresse e-mail et le même mot de passe sur différents services.

Commencez par attribuer un mot de passe unique à chaque compte, renforcer la sécurité de votre compte de messagerie et rechercher d’éventuelles connexions suspectes. Examinez ensuite les informations publiques de vos profils sur les applications de rencontres et les réseaux sociaux. Supprimez les informations non nécessaires, notamment la date de naissance, la localisation et la photo, car elles augmentent le risque de rapprochement avec votre identité. Bien que l’incident remonte à 2018, la remise en circulation ultérieure des données signifie que d’anciens enregistrements peuvent servir à des tentatives de fraude actuelles.