Fuite de données chez Daily Quiz

Les catégories de données vérifiées sont les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Lorsqu’une adresse e-mail et un nom d’utilisateur figurent ensemble, il est possible de les rapprocher des comptes de la personne sur d’autres plateformes. Une adresse IP ne donne pas l’adresse physique exacte; elle peut toutefois fournir des indices sur la localisation approximative, le fournisseur d’accès à Internet et le contexte de connexion. Même si les sites de quiz sont souvent utilisés à des fins de divertissement, la combinaison de ces champs peut fournir suffisamment de contexte pour mener des tentatives d’hameçonnage ciblées.

Le risque principal de cet incident tient aux mots de passe en clair. Si un mot de passe identique ou similaire a été utilisé sur d’autres services, des attaquants peuvent effectuer des tentatives de connexion automatisées. Si le même mot de passe a été utilisé pour des comptes de messagerie, de réseaux sociaux, de jeux, d’achat en ligne, de streaming ou de forums, ces comptes sont directement exposés au même risque. Les informations relatives au nom d’utilisateur et à l’adresse IP peuvent également servir à créer des alertes de sécurité ou de faux messages de vérification de compte qui semblent personnalisés.

Cette fiche couvre 8 032 404 adresses e-mail uniques et retient le 13 janvier 2021 comme date de l’incident. Le fait que différentes sources mentionnent ce jeu de données avec des nombres bruts d’enregistrements plus élevés ne signifie pas que le périmètre des adresses e-mail pouvant faire l’objet d’une recherche a changé. La valeur retenue ici est le nombre d’adresses e-mail uniques vérifiées. Les champs de données exposés sont l’adresse e-mail, l’adresse IP, le nom d’utilisateur et le mot de passe en clair.

Dans cette fiche, les numéros de téléphone, adresses physiques, cartes de paiement, comptes bancaires, dates de naissance, numéros de pièces d’identité officielles, contenus de messages privés et noms réels ne sont pas considérés comme des données vérifiées. L’incident doit être évalué dans le contexte d’un compte sur une plateforme de quiz. Une correspondance indique que l’adresse e-mail de l’utilisateur figure dans le jeu de données de Daily Quiz; elle ne signifie pas que son compte sur un autre service a été directement compromis. Toutefois, en cas de réutilisation du mot de passe, les conséquences peuvent s’étendre à d’autres services.

Les personnes les plus exposées sont celles qui réutilisent le mot de passe de leur compte Daily Quiz sur d’autres comptes. Les mots de passe ayant été exposés, des attaquants peuvent essayer la même combinaison sur différents sites. Si le même nom d’utilisateur est également utilisé sur des plateformes de jeux, de réseaux sociaux, de forums ou de messagerie, un lien peut être établi entre les profils. Les mots de passe des sites de quiz et de divertissement sont souvent jugés peu prioritaires; cela augmente aussi le risque de réutilisation du même mot de passe ailleurs.

Pour les utilisateurs dont l’adresse IP figure dans les données, le risque est que les messages ciblés deviennent plus convaincants grâce aux informations sur leur localisation approximative et leur fournisseur d’accès. Par exemple, des messages portant sur la sécurité des comptes, des récompenses gagnées, des résultats de quiz, la récupération d’un compte membre ou la réinitialisation d’un mot de passe peuvent sembler plus crédibles lorsqu’ils reprennent le nom d’utilisateur. Le risque est plus élevé pour les personnes inscrites avec une adresse e-mail professionnelle ou scolaire, car cette même adresse peut être associée à des comptes professionnels.

Si vous obtenez une correspondance dans cette fiche, vous devez immédiatement changer votre mot de passe Daily Quiz ainsi que celui de tous les comptes sur lesquels vous utilisez un mot de passe identique ou similaire. Les nouveaux mots de passe doivent être uniques, longs et difficiles à deviner. Protégez en priorité votre compte de messagerie, activez l’authentification multifacteur et vérifiez les sessions récentes. De simples variantes de l’ancien mot de passe, obtenues en ajoutant des années, des symboles ou de petites modifications, ne doivent pas être considérées comme sûres.

Soyez attentif aux messages inattendus concernant Daily Quiz, des résultats de quiz, des récompenses, une vérification de compte, des alertes de sécurité ou une réinitialisation de mot de passe. Vérifiez le nom de domaine avant d’ouvrir un lien et, si une action est nécessaire, rendez-vous directement à l’adresse que vous connaissez. Le fait qu’un expéditeur connaisse votre nom d’utilisateur, des éléments liés à votre adresse IP ou votre ancien mot de passe ne le rend pas digne de confiance. Ne communiquez à aucun tiers vos codes de vérification, vos nouveaux mots de passe, l’accès à votre messagerie ou vos informations de récupération de compte.

L’incident Daily Quiz montre que les mots de passe utilisés sur les sites de divertissement et de quiz peuvent eux aussi présenter un risque de sécurité sérieux. Utilisez des mots de passe uniques, même sur les sites que vous jugez peu prioritaires. Un gestionnaire de mots de passe facilite la création de mots de passe robustes et le suivi des comptes sur lesquels d’anciens mots de passe sont réutilisés. Fermez les comptes de divertissement, de quiz et de forums que vous n’utilisez plus, ou attribuez-leur au moins un mot de passe unique.

À long terme, l’utilisation du même nom d’utilisateur et de la même adresse e-mail sur tous les services facilite le rapprochement des profils. Vous pouvez envisager différentes stratégies d’utilisation des adresses e-mail pour vos comptes personnels, professionnels et de divertissement peu prioritaires. D’anciens jeux de données contenant des mots de passe en clair peuvent servir à des tentatives de connexion automatisées, même des années plus tard. L’ancienneté d’un incident ne rend donc pas la réutilisation des mots de passe sûre.

Une correspondance dans cette fiche indique que l’adresse e-mail concernée fait partie des adresses e-mail uniques présentes dans la fuite de données de Daily Quiz de janvier 2021. Elle ne signifie pas que la fuite a eu lieu cette année; la date de l’incident retenue dans cette fiche est le 13 janvier 2021. Le nombre brut d’enregistrements pouvant différer du nombre d’adresses e-mail uniques couvertes, le chiffre affiché dans le système correspond au périmètre vérifié des adresses e-mail sur lequel les utilisateurs peuvent effectuer une recherche.

Commencez par changer les mots de passe de tous les comptes utilisant le même mot de passe, sécurisez votre compte de messagerie avec l’authentification à deux facteurs et examinez les sessions suspectes. Vérifiez par un autre canal les messages portant sur des quiz, des récompenses, une vérification de compte ou une réinitialisation de mot de passe. Puisque cet incident implique des mots de passe exposés, leur remplacement doit être une priorité, même si la fuite est ancienne. Si vous avez utilisé le même mot de passe sur d’autres services, agissez sans attendre.