Exposition de données d’enrichissement chez un client de PDL

Les types de données confirmés sont les adresses e-mail, les informations sur l’employeur, les localisations géographiques, les intitulés de poste, les noms, les numéros de téléphone et les profils sur les réseaux sociaux. Les mots de passe, les données de cartes de paiement, les numéros de pièces d’identité officielles et le contenu intégral des comptes ne figurent pas parmi les champs confirmés pour cet incident. Néanmoins, l’association du nom, de l’employeur, du poste, du numéro de téléphone et du profil social fournit aux attaquants de nombreuses informations sur les fonctions d’une personne et son réseau de contacts.

Ces données peuvent servir à des opérations d’hameçonnage, à de faux messages de recrutement, à des fraudes aux fournisseurs, à des usurpations de l’identité d’un dirigeant, à de fausses factures, à des abus liés à la publicité ciblée et à des escroqueries téléphoniques. En particulier, lorsqu’une adresse e-mail professionnelle et un numéro de téléphone sont présents ensemble, l’attaquant peut contacter la personne dans le cadre de ses fonctions professionnelles. Les profils sur les réseaux sociaux peuvent aussi rendre plus convaincantes de fausses demandes de mise en relation ou des échanges de messages apparemment fiables.

La date à retenir pour l’incident est le 16 octobre 2019. La fiche a été ajoutée à des listes fiables de vérification des fuites de données le 22 novembre 2019. L’horodatage de sa dernière modification est identique à celui de son ajout. Le nombre de comptes concernés correspond à 622 161 052 adresses e-mail uniques. Les nombres bruts de profils ou de lignes, lorsqu’ils sont plus élevés, ne doivent pas être assimilés directement au nombre d’utilisateurs uniques, en raison des doublons et du regroupement de différents ensembles de données.

La présentation du périmètre ne doit pas affirmer que les systèmes internes de People Data Labs ont été compromis de manière certaine. L’explication exacte est qu’une base de données appartenant à un client ou à un tiers, laissée sans protection, contenait des champs d’enrichissement de données associés à People Data Labs. Pour l’utilisateur, cela signifie que son adresse e-mail figure dans cet ensemble de données de profils professionnels et que les champs associés augmentent le risque d’ingénierie sociale.

Les utilisateurs à risque sont notamment les professionnels dont l’adresse e-mail professionnelle, le numéro de téléphone, le poste, l’employeur et le profil sur les réseaux sociaux peuvent être rapprochés simultanément. Ils peuvent présenter un intérêt accru pour l’envoi de messages ciblés dans les fonctions commerciales, financières, de ressources humaines, de direction, technologiques, de relation client et d’approvisionnement. Ces personnes peuvent être visées par des tentatives de tromperie au moyen de fausses invitations à des réunions, de fichiers de propositions, de demandes de paiement ou de prétendues relations professionnelles.

Pour les particuliers, le risque découle de l’association de leur adresse e-mail personnelle et de leurs profils sociaux avec leur parcours professionnel. Les attaquants peuvent créer des messages réalistes en utilisant l’employeur, la ville, l’ancien poste ou les liens vers les profils publics de la personne. Pour les organisations, le risque ne se limite pas à la vie privée des salariés : leurs profils peuvent servir à des fraudes aux fournisseurs, à de fausses consignes de la direction et à des demandes de mise en relation qui semblent dignes de confiance.

Les utilisateurs pour lesquels une correspondance est signalée doivent d’abord vérifier la sécurité de leur compte de messagerie, de leur compte professionnel et de leurs comptes sur les réseaux sociaux. Ils doivent utiliser des mots de passe forts et uniques, activer l’authentification à deux facteurs et fermer les sessions qu’ils ne reconnaissent pas. Même si aucun mot de passe ne figure parmi les données dont l’exposition a été confirmée dans cet incident, la protection du compte de messagerie doit rester prioritaire, car il constitue le point central de récupération des autres comptes.

Il convient aussi d’examiner séparément les offres d’emploi, les partages de fichiers, les factures, les invitations à des réunions, les demandes de mise en relation, les messages de recrutement et les demandes de modification des modalités de paiement reçus dans la boîte de réception. Le fait qu’une personne au téléphone connaisse le nom, l’employeur, le poste ou d’anciennes informations de profil de son interlocuteur ne prouve pas qu’elle est digne de confiance. Une vérification par un second canal doit être obligatoire pour les communications demandant de modifier la destination d’un paiement ou de transmettre des codes de connexion, des mots de passe ou des documents confidentiels.

À long terme, les utilisateurs doivent mieux séparer leurs identités professionnelle et personnelle. Utiliser une adresse e-mail ou un alias distinct pour les comptes critiques, réduire le partage inutile de numéros de téléphone et d’adresses e-mail personnelles sur les profils sociaux, limiter les informations sur les anciens emplois et vérifier régulièrement les parties visibles des profils permettent de réduire le risque. L’utilisation d’un gestionnaire de mots de passe et de l’authentification à deux facteurs doit rester un socle de protection.

Les organisations doivent intégrer ces incidents d’enrichissement de données à leurs processus de sensibilisation du personnel, de sécurité de la messagerie et de vérification des fournisseurs. Les formations destinées aux personnes chargées de tâches à haut risque doivent traiter les scénarios de fausses factures, de fausses consignes de dirigeants, de faux recrutements et de faux partages de fichiers. Pour les demandes nécessitant des opérations financières ou des modifications des droits d’accès, une vérification par un second canal doit être obligatoire, en plus d’une approbation écrite.

Si le résultat LeakData est positif, cela signifie que l’adresse e-mail recherchée figure dans l’ensemble de données « Exposition de données d’enrichissement chez un client de PDL ». Ce résultat ne signifie pas que la personne est cliente de People Data Labs ni que le mot de passe d’un compte particulier a fuité. Il indique surtout que l’adresse peut apparaître aux côtés de champs tels que le nom, l’employeur, le poste, le numéro de téléphone, la localisation ou le profil social, ce qui augmente le risque de communications ciblées.

Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans cet ensemble de données. Toutefois, la même adresse e-mail peut figurer dans d’autres incidents d’enrichissement de données ou d’autres fuites. L’utilisateur doit continuer à effectuer des vérifications régulières, utiliser des mots de passe uniques pour ses comptes professionnels et personnels, laisser l’authentification à deux facteurs activée et conserver l’habitude de vérifier par un second canal les messages professionnels inattendus.