Fuite de données chez Condo.com

Les types de données vérifiés sont les adresses e-mail, les noms, les numéros de téléphone et les adresses postales. Une adresse e-mail peut servir à établir des liens avec les autres comptes en ligne de l’utilisateur. Les noms et les numéros de téléphone peuvent être exploités pour de faux appels de service client, des messages de vérification d’annonce, des usurpations d’identité d’agents immobiliers ou des tentatives de détournement de paiement. Les enregistrements comportant une adresse postale peuvent fournir des informations plus directes sur le lieu où l’utilisateur habite ou sur une adresse qui l’intéresse.

La présence de mots de passe n’est pas confirmée dans cette fiche. Le risque porte donc surtout sur l’hameçonnage, les escroqueries téléphoniques et l’ingénierie sociale à thème immobilier, plutôt que sur les mots de passe des comptes. L’association du nom, de l’adresse e-mail et du numéro de téléphone fournit suffisamment de moyens de contact pour joindre une personne. Si un attaquant suppose que l’utilisateur recherche un logement, souhaite louer ou acheter, ou s’intéresse à un appartement, il peut adapter ses messages à ce contexte. Cette personnalisation peut les rendre plus convaincants que des publicités génériques ou des messages d’hameçonnage envoyés en masse.

Cette fiche couvre 1 481 555 comptes touchés, et la date de l’incident est enregistrée au 1er juin 2019. Il semble que les données aient ensuite recommencé à circuler au sein d’une compilation plus vaste de données issues de fuites. Ainsi, malgré l’ancienneté de l’incident, les adresses e-mail et les numéros de téléphone pourraient être réutilisés dans des listes servant à des fraudes actuelles. Le périmètre de cette fiche doit être évalué d’après le nombre de comptes uniques : il ne faut pas supposer que chaque ligne correspond à un profil utilisateur actuel, actif ou complet.

Les champs vérifiés sont l’adresse e-mail, le nom, le numéro de téléphone et, dans un petit nombre de cas, l’adresse postale. Dans cette fiche, les mots de passe, les cartes de paiement, les comptes bancaires, les numéros de sécurité sociale, les dates de naissance, les pièces d’identité et les documents de transaction immobilière ne font pas partie des types de données vérifiés. De plus, le champ d’adresse postale n’apparaît pas dans tous les enregistrements, mais seulement dans une petite partie d’entre eux. Cette distinction est importante : pour expliquer le risque réel à l’utilisateur, il faut à la fois éviter de sous-estimer la valeur des coordonnées et de présenter comme présentes des catégories de données non vérifiées.

Les personnes les plus exposées sont celles qui ont utilisé leur vrai nom, leur adresse e-mail principale et un numéro de téléphone actif sur Condo.com. Les utilisateurs en recherche immobilière prennent généralement des décisions aux enjeux financiers importants, comme déménager, investir, louer ou acheter. Les attaquants peuvent donc les cibler avec de faux services de conseil, de fausses annonces, des tentatives de détournement d’acompte, des offres d’accord de principe pour un crédit, des demandes de frais d’estimation, des avis de frais d’entretien ou des services de déménagement.

Pour les utilisateurs dont l’adresse postale figure également dans les données, le risque devient plus personnalisé. Si cette adresse est exacte, un attaquant peut tenter de rendre son message crédible en évoquant le quartier, l’immeuble, une livraison, l’entretien, un abonnement ou une communication du gestionnaire. Les utilisateurs dont le numéro de téléphone est présent peuvent être directement ciblés par SMS et par appel. Pour ceux qui se sont inscrits avec une adresse e-mail professionnelle, il existe aussi un risque d’hameçonnage en entreprise : des messages liés à l’immobilier et à la gestion des locaux peuvent paraître plausibles dans un environnement de travail.

Si une correspondance vous est signalée dans cette fiche, soyez avant tout vigilant face aux messages à thème immobilier reçus par e-mail ou par téléphone. Ne considérez pas d’emblée comme fiables les offres immobilières inattendues, les demandes d’acompte, les consignes de paiement rapide, les liens de demande de prêt, les fichiers de contrat de location ou les messages de vérification de compte. Avant toute transaction immobilière, vérifiez de manière indépendante l’identité de l’autre partie, la source de l’annonce, les informations de paiement et le canal de communication.

Activez l’authentification multifacteur sur votre compte de messagerie et vérifiez les sessions suspectes. Même si la présence d’un champ de mot de passe n’est pas confirmée dans cette fiche, le compte de messagerie peut être une cible centrale des messages frauduleux. Les codes à usage unique envoyés au numéro de téléphone, les demandes de pièces d’identité, les instructions de paiement d’acompte ou les demandes d’accès à distance ne doivent pas être partagés. Si votre adresse postale a pu être divulguée, considérez également comme suspects les messages reçus sous prétexte d’une vérification d’adresse ou d’une livraison.

L’incident Condo.com montre que les coordonnées peuvent avoir des conséquences importantes sur la sécurité et la vie privée, même lorsqu’elles ne sont pas accompagnées d’un mot de passe. Dans la mesure du possible, utilisez des adresses e-mail distinctes ou des solutions de masquage pour les services immobiliers, les sites d’annonces, les abonnements et les achats. Ne communiquez votre numéro de téléphone que lorsque cela est obligatoire; dans ce cas, gardez à l’esprit que vous pourriez recevoir par la suite des messages commerciaux, frauduleux ou d’hameçonnage. Ne communiquez une adresse postale que pour les transactions qui l’exigent réellement.

À long terme, passez en revue vos anciens comptes immobiliers et profils sur les sites d’annonces. Fermez les comptes inutilisés, réduisez les informations publiques de vos profils et vérifiez quels services disposent des mêmes coordonnées. Les transactions immobilières représentant des montants importants, n’effectuez jamais un paiement en vous fondant uniquement sur des instructions reçues par e-mail ou par SMS. Vérifiez par des canaux distincts l’habilitation professionnelle de l’autre partie, la propriété de l’annonce, les coordonnées bancaires et les détails du contrat.

La présence d’une correspondance dans cette fiche indique que l’adresse e-mail concernée figure parmi les enregistrements associés à la fuite de Condo.com. Le périmètre vérifié de cette correspondance se limite aux coordonnées et aux informations d’identité : les mots de passe et les informations de paiement ne font pas partie des catégories de données vérifiées dans cette fiche. Toutefois, l’association de l’adresse e-mail, du nom et du numéro de téléphone peut suffire à créer des messages qui semblent personnalisés pour l’utilisateur. La prudence reste donc de mise, même si la fiche porte sur un incident ancien.

Commencez par sécuriser votre compte de messagerie, vérifiez par un autre canal les messages inattendus concernant l’immobilier ou un déménagement, et refusez les demandes de paiement ou de justificatifs d’identité reçues par téléphone. Si vous pensez que votre adresse postale peut être connue, examinez attentivement les messages concernant les livraisons, l’entretien, la gestion de l’immeuble ou les abonnements. Pour toute transaction immobilière, vérifiez les annonces, les personnes, les entreprises et les informations relatives au compte auprès de sources indépendantes avant de transférer de l’argent.