Fuite de données chez CyberServe

L’incident CyberServe concerne un éventail très large de catégories de données. Les adresses e-mail, les noms d’utilisateur, les adresses IP et les mots de passe en clair créent des risques de prise de contrôle de comptes et des risques liés à la réutilisation des mots de passe. Les numéros de téléphone, les noms, les dates de naissance et les informations de localisation géographique peuvent rendre les messages d’hameçonnage ciblé et d’escroquerie plus convaincants. Les photos de profil et les caractéristiques physiques peuvent servir à identifier une personne, à créer de faux profils et à mener des opérations d’ingénierie sociale.

L’aspect le plus sensible de l’incident est la présence d’informations telles que l’orientation sexuelle, le statut sérologique VIH, les données de santé personnelles, les messages privés, la religion, la composition familiale et les habitudes de vie. Ces données peuvent présenter des risques non seulement pour la sécurité des comptes numériques, mais aussi pour l’entourage social, les relations familiales, la vie professionnelle et la sécurité physique d’une personne. Dans le contexte d’un service de rencontres LGBTQ, certains utilisateurs peuvent être exposés à une divulgation non souhaitée, à du harcèlement ciblé, à du chantage ou à des discriminations. Les données de santé peuvent entraîner des conséquences sur la vie privée qui ne peuvent être modifiées ni facilement révélées, même des années plus tard.

Cette fiche couvre 1 107 034 comptes touchés et la date de l’incident y est indiquée comme étant le 29 octobre 2021. CyberServe fournissant des services d’hébergement à plusieurs clients, l’incident ne doit pas être considéré comme la fuite d’une simple table d’utilisateurs issue d’une seule application. Des catégories de données provenant de services de rencontres, comme Atraf, et de santé, comme Machon Mor, sont regroupées dans ce même incident principal. Les types de données sont donc très variés, et il ne faut pas supposer que les mêmes champs sont présents pour chaque compte.

Le périmètre confirmé comprend des champs tels que la date de naissance, les habitudes de consommation d’alcool, l’adresse e-mail, la composition familiale, le genre, la localisation géographique, le statut sérologique VIH, l’adresse IP, le nom, le mot de passe, les données de santé personnelles, le numéro de téléphone, les caractéristiques physiques, les messages privés, la photo de profil, la religion, l’orientation sexuelle, les habitudes de consommation de tabac et le nom d’utilisateur. Dans cette fiche, les données de carte de paiement, de compte bancaire ou de numéro de pièce d’identité officielle ne font pas partie des catégories confirmées. Toutefois, les catégories de données présentes ont des répercussions extrêmement importantes sur la vie privée, indépendamment de toute donnée de paiement.

Les personnes les plus exposées sont les utilisateurs dont des informations privées, telles que les données de profil, les messages, les photos, l’orientation sexuelle ou le statut sérologique VIH, figurent sur des services de rencontres comme Atraf. Pour ces utilisateurs, le risque ne se limite pas à l’hameçonnage : des conséquences hors ligne, comme une divulgation non souhaitée, du chantage, du harcèlement, des discriminations et des pressions sociales, peuvent également survenir. Pour les personnes liées aux services de santé, l’exposition d’informations médicales et de données de communication constitue aussi un enjeu important.

Les utilisateurs qui réutilisent le même mot de passe sur d’autres services sont également très exposés lorsque les mots de passe de leurs comptes ont été divulgués. Les personnes dont les numéros de téléphone, les noms, les photos et les informations de localisation sont présents peuvent être ciblées par des messages, des appels ou des communications sur les réseaux sociaux qui semblent crédibles. Pour les utilisateurs dont l’identité doit rester confidentielle dans leur milieu professionnel ou familial, cette fuite doit être considérée comme critique pour leur sécurité personnelle. Les mesures à prendre ne doivent donc pas se limiter à un simple changement technique de mot de passe.

Si vous constatez une correspondance dans cette fiche, vous devez d’abord modifier le mot de passe de tous les comptes sur lesquels vous utilisez le même mot de passe ou un mot de passe similaire. Les nouveaux mots de passe doivent être uniques, longs et difficiles à deviner. Protégez votre compte de messagerie par une authentification multifacteur et vérifiez les sessions récentes, les règles de transfert et les options de récupération. Ne remettez pas ces changements de mots de passe à plus tard, car des mots de passe en clair ont été trouvés.

Compte tenu des risques liés aux données sensibles, méfiez-vous des communications portant sur le chantage, les menaces, de fausses notifications juridiques, les dossiers médicaux, les comptes de rencontres, les photos de profil ou les messages privés. Si vous recevez un tel message, gardez votre calme et évitez d’ouvrir des liens, d’effectuer des paiements ou de communiquer des codes de vérification. Les démarches de sécurité ou d’assistance doivent être effectuées uniquement par des canaux officiels connus. Si vous estimez que votre sécurité physique est menacée, envisagez de demander de l’aide à des personnes de confiance ou à des organismes locaux d’aide.

L’incident CyberServe montre qu’une fuite chez un hébergeur peut toucher simultanément les utilisateurs de plusieurs systèmes clients. Vérifiez régulièrement les informations que vous partagez sur les services sensibles de rencontres, de santé ou communautaires. Tenez compte des conséquences possibles d’une fuite lorsque vous publiez sur un profil votre véritable nom, des photos permettant de vous reconnaître clairement, votre localisation, votre état de santé, votre orientation sexuelle ou des informations familiales. Fermez les comptes inutilisés et limitez les champs de profil non nécessaires.

À long terme, un mot de passe unique pour chaque service et une bonne protection de votre messagerie sont des mesures fondamentales. Dans ce cas, toutefois, le risque pour la vie privée dépasse la seule sécurité technique des comptes. Vous pouvez privilégier des adresses e-mail distinctes pour les services sensibles, limiter les informations de profil et mieux contrôler le partage de vos photos. Du point de vue des organisations, le cloisonnement des accès, le chiffrement, la journalisation, la réponse aux incidents et les mesures de minimisation des données sont essentiels chez les prestataires qui hébergent les systèmes de leurs clients.

La présence d’une correspondance dans cette fiche indique que l’adresse e-mail concernée figure parmi les jeux de données observés dans le cadre de l’incident CyberServe. Cette correspondance doit être évaluée en tenant compte du fait que l’incident concerne plusieurs systèmes clients : les types de données peuvent varier selon le compte et le service. Cette fiche doit néanmoins être traitée en priorité, car la présence dans le périmètre de champs tels que l’orientation sexuelle, le statut sérologique VIH, les données de santé, les messages privés et les mots de passe en clair est confirmée.

Vous devez immédiatement interrompre la réinitialisation du mot de passe, renforcer la sécurité de votre compte de messagerie et vous préparer à d’éventuelles tentatives de chantage ou d’hameçonnage liées à vos données privées. Passez en revue vos profils sur les services de rencontres, de santé ou communautaires, réduisez au minimum les informations personnelles non nécessaires et vérifiez par un canal distinct les faux messages d’assistance. Même si cet incident est ancien, le risque peut persister longtemps en raison d’informations qui ne peuvent pas être modifiées ou qui sont très sensibles, comme l’orientation sexuelle et la santé.