Fuite de données chez Convex

Les types de données répertoriés pour cet incident sont les suivants : adresses e-mail, adresses IP, noms et numéros de téléphone. Les adresses IP et les numéros de téléphone peuvent permettre de relier une personne à l’utilisation de certains services et à des canaux de communication précis. La présence simultanée de ces champs peut créer une surface d’attaque plus large qu’une fuite d’adresses e-mail seules. Les attaquants peuvent combiner les coordonnées, les éléments d’identification, les comportements liés aux comptes et le contexte sectoriel pour élaborer des messages plus convaincants.

Aucun champ de mot de passe n’est répertorié dans cette fiche. Le risque se concentre davantage sur les communications, l’identité sur le réseau et l’ingénierie sociale ciblée. Lorsqu’une fiche comporte un champ de mot de passe, l’utilisation du même mot de passe ou d’un mot de passe similaire sur d’autres services crée directement un risque de prise de contrôle des comptes. Même en l’absence de mot de passe, des données durables comme l’adresse, le numéro de téléphone, l’appareil, l’établissement scolaire, les achats ou un identifiant officiel peuvent renforcer les scénarios d’ingénierie sociale et de fraude.

La fiche couvre environ 150 000 adresses e-mail uniques figurant dans des données de télécommunications associées au domaine convex.ru. L’incident relève de la catégorie des fiches vérifiées. La divulgation n’a donc pas été élargie pour donner à l’incident une ampleur supérieure à sa portée réelle : les types de données répertoriés et le nombre de comptes ont été conservés. Cette délimitation est particulièrement importante pour les fiches sensibles, car il faut distinguer le risque réel pour un utilisateur des risques hypothétiques.

Compte tenu du contexte du fournisseur de réseau, le secteur retenu reste celui des télécommunications et de la fourniture d’accès à Internet. Le titre, le nom de domaine, le pays, le secteur et la catégorie de sensibilité ont été corrigés conformément à ce périmètre. Les noms similaires susceptibles de créer des doublons n’ont pas été regroupés sous un seul incident : chaque fiche a été évaluée en fonction de son propre nom de domaine et de sa catégorie de données.

Les clients de Convex qui utilisent la même combinaison de numéro de téléphone et d’adresse e-mail pour des comptes publics, bancaires ou professionnels sont à risque. Pour ces utilisateurs, le principal risque est que les données divulguées puissent être rapprochées des informations utilisées sur d’autres comptes. Si une adresse e-mail, un numéro de téléphone, un nom d’utilisateur ou des informations sur un appareil restent identiques d’un service à l’autre, les attaquants peuvent exploiter ces identifiants communs pour effectuer de nouvelles tentatives.

Le contexte des télécommunications peut être exploité au moyen de fausses factures ou de messages prétextant une vérification de ligne, une mise à jour du modem ou une intervention du service client. Des messages professionnels ciblés peuvent sembler plus convaincants aux personnes qui utilisent une adresse e-mail professionnelle. Pour les particuliers, de fausses alertes de compte, des notifications de remboursement ou des messages liés à l’école ou à un abonnement peuvent paraître plus crédibles. Les données concernant des enfants, des élèves, des étudiants, des salariés ou l’adhésion à des organisations sensibles doivent également être traitées avec précaution.

Si vous êtes concerné, vérifiez par un second canal les demandes de vérification de compte reçues par téléphone et examinez les connexions suspectes à vos comptes de messagerie. Si un mot de passe ou un champ assimilable à un mot de passe est répertorié, changez le mot de passe de tous les comptes sur lesquels vous le réutilisez, choisissez un mot de passe unique et activez l’authentification multifacteur partout où cela est possible. Agir uniquement sur la plateforme concernée peut ne pas suffire : la même combinaison d’adresse e-mail et de mot de passe pourrait également être essayée sur d’autres services.

Si la fiche contient des numéros de téléphone, des adresses, des dates de naissance, des classes scolaires, des identifiants officiels, des informations financières ou des champs relatifs aux appareils, vérifiez les options de récupération de compte, les sessions ouvertes, les règles de routage et les notifications suspectes. Pour les comptes professionnels, transmettez ces informations à l’équipe chargée de la sécurité de l’information. Pour les comptes personnels, effectuez des vérifications supplémentaires face aux liens inattendus reçus par e-mail ou par téléphone.

Les utilisateurs de services de télécommunications doivent régulièrement mettre à jour les codes PIN de leurs comptes, les informations de vérification utilisées par le service client et les paramètres de sécurité de leur messagerie. À long terme, l’utilisation d’un gestionnaire de mots de passe, de mots de passe différents pour chaque service et de l’authentification multifacteur, ainsi que la fermeture des anciens comptes et la suppression des informations de profil inutiles, constituent des mesures de protection de base. Une fois les données divulguées, il n’est plus possible de récupérer des informations telles que la date de naissance, l’adresse, le numéro de téléphone ou les données relatives à un appareil. Il faut donc renforcer les pratiques d’utilisation des comptes et les procédures de vérification.

Pour les entreprises et les institutions, de tels incidents ne sont pas seulement un problème de sécurité technique. Ils touchent aussi à la minimisation des données, aux accès des salariés, aux durées de conservation des anciens enregistrements, aux données des enfants, aux procédures de notification des clients et à la transparence après l’incident. Du côté des utilisateurs, limiter le nombre d’anciens comptes et ne pas utiliser partout les mêmes informations d’identité réduit durablement le risque.

Si vous constatez une correspondance avec cette fiche, redoublez de prudence face aux faux messages de service susceptibles de vous parvenir par téléphone ou par e-mail. En cas de correspondance, commencez par lire la liste des champs de données répertoriés, puis hiérarchisez vos actions en conséquence. Si un mot de passe est présent, donnez la priorité à son changement. Si la fiche contient un identifiant officiel ou des données financières, privilégiez la surveillance de votre identité et de vos comptes. Si elle contient des données d’élèves ou d’étudiants, vérifiez en priorité les comptes des parents et ceux utilisés dans le cadre scolaire.

Évaluation finale : cette fiche décrit un incident portant sur des données de communication sensibles, car elle contient des numéros de téléphone et des adresses IP dans un contexte de télécommunications. Comparez cette fiche à l’historique de vos propres comptes et vérifiez séparément les services sur lesquels vous avez utilisé les mêmes combinaisons d’adresse e-mail, de numéro de téléphone, de mot de passe, d’adresse ou de nom d’utilisateur. Après l’incident, les appels, messages, e-mails ou notifications de récupération de compte suspects doivent être considérés comme présentant un risque accru.