Fuite de données chez Covve

Les catégories de données dont l’exposition a été vérifiée sont les adresses e-mail, les noms, les numéros de téléphone, les adresses postales, les intitulés de poste et les profils sur les réseaux sociaux. Le rapprochement de ces informations peut faciliter l’hameçonnage ciblé, les escroqueries téléphoniques, l’envoi de messages professionnels frauduleux et le recoupement des profils en ligne d’une personne. Les données des carnets d’adresses peuvent concerner non seulement les utilisateurs de l’application, mais aussi leurs clients, collègues, amis ou autres contacts enregistrés. Les mots de passe ne font pas partie des catégories de données dont l’exposition a été vérifiée dans cette fuite : l’incident ne doit donc pas être présenté comme une fuite directe de mots de passe, une opération de cassage de mots de passe ou une perte de données de paiement. Le champ relatif aux profils sur les réseaux sociaux désigne des identités de profil ou des liens; il ne prouve pas que des messages privés ou des identifiants de connexion aux réseaux sociaux ont été exposés.

Selon les informations publiées par l’entreprise, un accès non autorisé a eu lieu avant la mise hors service, début janvier 2020, d’un système associé à l’application web Covve qui avait été retirée du service. En février, le vaste jeu de données a été découvert sur une instance Elasticsearch accessible depuis l’extérieur et hébergée par un fournisseur de cloud. Son origine étant initialement inconnue, la fiche a été nommée d’après l’identifiant « db8151dd », qui apparaissait à plusieurs reprises dans les données. La date de référence retenue est le 20 février. Bien que le jeu de données contienne plus de 103 millions de lignes, la déduplication a permis de recenser 22 802 117 adresses e-mail uniques. Il a ensuite été confirmé que les données provenaient de l’ancien système Covve. L’entreprise a déclaré avoir pris connaissance de l’incident le 15 mai, ouvert une enquête, contacté l’autorité de régulation et informé les utilisateurs; la fiche a été mise à jour le 19 mai pour attribuer la fuite à Covve.

Les personnes concernées ne se limitent pas à celles qui ont ouvert un compte Covve. L’entreprise a déclaré que les données d’environ 90 000 utilisateurs de Covve avaient été compromises, tandis que le chiffre de 22,8 millions d’adresses e-mail uniques correspond à une population bien plus large, enregistrée dans les carnets d’adresses de ces utilisateurs. Une personne qui n’a jamais utilisé l’application peut donc figurer dans les données parce qu’un autre utilisateur l’a enregistrée comme contact. Lorsque les intitulés de poste, les profils sur les réseaux sociaux, les numéros de téléphone et les adresses e-mail sont rapprochés, les cadres dirigeants, les équipes commerciales et les personnes exerçant des fonctions en contact avec le public peuvent recevoir des messages d’ingénierie sociale plus convaincants. Les enregistrements contenant des adresses postales présentent des risques supplémentaires pour la vie privée et peuvent favoriser des prises de contact indésirables. L’exposition de mots de passe et de données financières n’ayant pas été vérifiée, la prise de contrôle directe de comptes et la fraude à la carte bancaire ne doivent pas être présentées comme des conséquences confirmées de cet incident.

Avant de suivre un lien, vérifiez par un autre canal de confiance les offres d’emploi inattendues, les demandes de mise à jour de coordonnées, les invitations à synchroniser un carnet d’adresses et les messages faisant référence à Covve. Ne considérez pas le fait qu’un interlocuteur connaisse votre nom, votre intitulé de poste, votre numéro de téléphone ou votre adresse comme une preuve de sa légitimité. Vérifiez les numéros de téléphone, adresses e-mail et informations de localisation visibles publiquement sur vos profils de réseaux sociaux, puis supprimez ce qui n’est plus nécessaire. Si vous utilisez Covve, vérifiez les autorisations d’accès aux contacts de l’application actuelle et supprimez les carnets d’adresses synchronisés dont vous n’avez plus besoin. Cet incident ne constitue pas, à lui seul, une fuite de mots de passe imposant leur réinitialisation systématique. Toutefois, si vous constatez une activité suspecte, modifiez le mot de passe du compte concerné depuis le service officiel et activez l’authentification multifacteur. Signalez toute menace ou utilisation abusive d’une adresse postale à l’autorité locale compétente.

Les applications de gestion des contacts peuvent copier des données concernant des personnes qui ne les utilisent pas. Il convient donc de vérifier régulièrement les autorisations et les durées de conservation. Supprimer les contacts obsolètes, limiter la synchronisation des carnets d’adresses et retirer les anciennes connexions à des applications réduit les risques d’exposition futurs. L’authentification multifacteur des comptes de messagerie et de réseaux sociaux reste utile, car elle limite les dommages à la suite d’une attaque d’ingénierie sociale, même lorsqu’aucun mot de passe n’a été exposé lors de cet incident. Les exploitants de services devraient mettre hors service non seulement l’application, mais aussi ses espaces de stockage de données, ses sauvegardes et ses voies d’accès dans le cloud. Bloquer l’accès public aux bases de données, restreindre les accès réseau, limiter les données conservées au minimum, tenir en permanence un inventaire des ressources exposées et communiquer rapidement sur les incidents assurent une protection durable.

Recherchez votre adresse e-mail dans LeakData pour savoir si elle figure dans la fiche de la fuite Covve/db8151dd. Ne recherchez qu’une adresse qui vous appartient ou que vous êtes autorisé à vérifier. Un résultat positif signifie que l’adresse figure dans le jeu de données vérifié; il ne prouve pas que vous étiez un utilisateur de Covve, qu’un mot de passe a été exposé ou que votre enregistrement contenait tous les types de données indiqués. Même si vous n’avez jamais utilisé l’application, votre adresse peut être présente parce qu’une autre personne vous avait enregistré dans son carnet d’adresses. En cas de résultat positif, soyez particulièrement vigilant face aux e-mails et aux messages téléphoniques personnalisés, puis vérifiez la visibilité de vos profils sur les réseaux sociaux et de vos coordonnées publiques.