Dangdang Fuite de données

Les adresses e-mail sont le seul type de données vérifié dans les enregistrements Dangdang. Une adresse e-mail ne révèle pas, à elle seule, le mot de passe d’un compte ni ses informations de paiement. Elle augmente toutefois le risque de fraude ciblée, car elle révèle le lien d’une personne avec une plateforme de commerce en ligne précise. Lorsqu’un attaquant sait qu’un utilisateur a pu être associé à Dangdang par le passé, il peut préparer des messages plus convaincants : notifications de commande, bons de réduction, suivi de livraison, vérification de compte ou démarches de retour. Ces messages visent souvent à diriger l’utilisateur vers une fausse page de connexion, à récupérer un mot de passe utilisé sur un autre service ou à lui faire ouvrir un fichier malveillant.

Cette fuite ne doit pas être interprétée comme un vol classique d’identifiants de connexion, car le champ du mot de passe n’a pas été vérifié. Néanmoins, la circulation des adresses e-mail dans des listes en ligne au fil des années peut exposer durablement les utilisateurs au spam, à l’hameçonnage et au repérage de leurs comptes. Lorsqu’une adresse e-mail est recoupée avec des données provenant d’autres fuites, il est possible de déduire les habitudes d’achat d’une personne, la langue qu’elle utilise, ses préférences régionales ou l’historique de ses comptes. Ce risque est particulièrement marqué pour les personnes qui utilisent la même adresse e-mail dans différentes boutiques et sur plusieurs services de paiement.

Le périmètre vérifié de cette fiche comprend 4 848 734 adresses e-mail uniques. Bien que certains articles de presse de 2011 aient fait état d’allégations concernant des informations plus étendues sur les utilisateurs et des chiffres plus élevés, cette page se fonde uniquement sur les adresses e-mail pouvant être rattachées de manière fiable à Dangdang. Les déclarations de Dangdang à l’époque indiquaient que les données circulant en ligne ne concernaient pas toutes des utilisateurs de Dangdang et que la partie vérifiée était liée à des informations de compte antérieures à l’incident. La fiche reste donc spécifiquement consacrée au domaine Dangdang, sans amplifier les allégations plus larges ni les mélanger avec celles concernant d’autres plateformes.

Les limites concernant les champs de données doivent également rester explicites. Cette fiche ne contient ni mot de passe, ni numéro de téléphone, ni adresse physique de livraison, ni données de carte de paiement, ni contenu de commande, ni numéro de pièce d’identité officielle. Ajouter à cette fiche d’autres champs relatifs aux clients que l’adresse e-mail dépasserait le périmètre vérifié. L’incident étant daté de juin 2011, une nouvelle diffusion des données ou leur ajout à des index de fuites au cours des années suivantes ne change pas la date de la fuite initiale. Le risque présenté à l’utilisateur doit tenir compte du fait qu’une ancienne fuite d’adresses e-mail peut encore servir aujourd’hui à l’hameçonnage et au repérage de comptes.

Les utilisateurs les plus exposés sont ceux qui ont ouvert un compte sur Dangdang avant 2011 ou à cette période, effectué des achats ou souscrit à des newsletters. Les personnes qui utilisent la même adresse e-mail sur d’autres sites de commerce en ligne basés en Chine, services de paiement, places de marché ou applications de livraison peuvent notamment être davantage ciblées. Le lien entre une adresse e-mail et Dangdang permet à un attaquant d’envoyer plus facilement à la personne une campagne adaptée à sa langue ou à sa région, une notification de commande ou un message de mise à jour de compte. Comme ces messages rappellent à l’utilisateur une enseigne connue par le passé, ils peuvent lui inspirer confiance.

Le risque doit être évalué séparément pour les utilisateurs qui s’inscrivent avec une adresse e-mail professionnelle. La présence d’une adresse e-mail d’entreprise sur une plateforme d’achat destinée aux particuliers ne signifie pas directement que les systèmes de l’entreprise sont touchés; des attaquants peuvent toutefois ajouter ces adresses à des listes d’envoi ciblées. Les personnes qui font des achats pour des membres de leur famille, celles dont l’adresse e-mail est fréquemment utilisée et les clients qui conservent la même adresse depuis de nombreuses années sont également exposés. L’ancienneté des données ne signifie pas que ces adresses n’ont plus de valeur : de nombreuses personnes utilisent leur adresse e-mail pendant plus de dix ans sans en changer.

Si votre adresse e-mail correspond à la fiche Dangdang, examinez en priorité avec davantage d’attention les messages reçus à cette adresse concernant les achats, les livraisons, les retours, les paiements et la vérification de compte. Plutôt que de cliquer sur le lien d’un message, accédez directement au service concerné depuis votre navigateur et vérifiez le champ de l’expéditeur ainsi que la destination du lien. N’ouvrez pas de pièces jointes inattendues et ne saisissez pas de mots de passe ni d’informations de paiement dans des formulaires qui semblent liés à des bons de réduction ou à des offres de cadeaux. Une adresse e-mail divulguée ne signifie pas, à elle seule, que le mot de passe a été compromis, mais des attaquants peuvent s’en servir pour recueillir de nouvelles informations.

Si vous utilisez la même adresse e-mail pour des comptes sensibles, activez l’authentification multifacteur sur ces comptes. Protégez tout particulièrement le compte de messagerie lui-même, car les liens de réinitialisation des mots de passe des comptes sur les sites marchands et les services de paiement sont généralement envoyés à cette adresse. Vérifiez les règles de transfert inconnues, les options de récupération et les connexions récentes au compte de messagerie. Conservez les messages suspects dans un dossier distinct. Si l’adresse est partagée au sein d’une organisation ou d’une famille, informez également les autres utilisateurs.

L’incident Dangdang montre que même les anciennes fuites ne contenant que des adresses e-mail peuvent avoir des effets durables sur la sécurité. Vous pouvez envisager d’utiliser des adresses e-mail différentes selon les usages : séparer les comptes liés aux échanges personnels, aux achats, au travail, aux finances et aux communautés rend plus difficile la reconstitution de toute votre identité numérique à partir d’une seule fuite. Vérifiez régulièrement vos anciens comptes sur les sites marchands, fermez les comptes inutilisés et faites le tri dans vos abonnements aux newsletters. Vous réduirez ainsi le nombre de comptes superflus accumulés au fil des années.

Pour les plateformes de commerce en ligne, la leçon à tirer est que les adresses e-mail des clients ne doivent pas être considérées comme des données à faible risque. Même sans mots de passe ni données de paiement, elles peuvent servir à la fraude, au reciblage et à des campagnes de fausses notifications. Les données clients doivent donc être stockées en limitant les droits d’accès au strict nécessaire, les anciens enregistrements ne doivent pas être conservés inutilement et les journaux d’accès doivent être surveillés. En cas de fuite, les utilisateurs doivent être clairement informés des éléments touchés. Il ne suffit pas de dire qu’« aucune information critique n’a été divulguée » : il faut aussi expliquer le risque d’ingénierie sociale que peut présenter l’adresse e-mail.

Si le résultat de la vérification sur cette page correspond à la fiche Dangdang, vous pouvez établir un lien entre votre adresse e-mail et un ancien compte sur un site marchand. Commencez par vérifier les paramètres de sécurité de votre compte de messagerie et méfiez-vous des messages suspects liés aux achats. Pour les autres comptes de commerce en ligne utilisant la même adresse e-mail, privilégiez un mot de passe unique et une protection multifacteur. Même si le mot de passe n’est pas un champ de données vérifié dans cette fiche, il risque d’être compromis ultérieurement au moyen de faux messages.

L’ancienneté de la fuite Dangdang ne doit pas vous conduire à penser qu’« elle n’a plus d’importance ». Au fil du temps, les adresses e-mail peuvent être recoupées avec différents jeux de données, ajoutées à des listes destinées à la publicité ciblée ou à la fraude, et servir à préparer de nouvelles attaques exploitant d’anciens liens avec des marques. Si cette fiche vous concerne, renforcez vos bonnes pratiques de sécurité en matière de messagerie, revoyez vos comptes sur les sites marchands et prenez l’habitude de faire preuve de davantage de prudence face aux liens inattendus.