Dossiers d’enrichissement de données

Dans la fiche Dossiers d’enrichissement de données, les catégories de données répertoriées doivent être considérées comme les suivantes : préférences d’achat, informations sur les dons caritatifs, situation de crédit, dates de naissance, adresses e-mail, composition familiale, investissements financiers, statut de propriétaire du logement, niveau de revenus, intitulés de poste, situation matrimoniale, noms et prénoms, estimations du patrimoine net, numéros de téléphone, adresses postales et informations sur les dons politiques. Les préférences d’achat peuvent servir à créer des publicités ciblées ou des messages frauduleux fondés sur les centres d’intérêt et les habitudes de consommation d’un utilisateur. Les informations sur les dons caritatifs peuvent révéler des éléments sensibles sur les organismes et les valeurs auxquels une personne s’intéresse. La situation de crédit peut permettre de déduire des éléments sur sa fiabilité financière et sa capacité d’emprunt. Les dates de naissance sont des données personnelles qui ne changent pas et peuvent être utilisées dans les questions de vérification d’identité, le ciblage selon l’âge et l’enrichissement de profils. Les adresses e-mail peuvent servir à l’hameçonnage ciblé, à des manœuvres de réinitialisation de mot de passe et au rapprochement de comptes sur différents services. Les informations sur la composition familiale augmentent le risque d’ingénierie sociale fondée sur le profil du foyer, la parentalité ou les relations familiales. Les informations sur les investissements financiers peuvent être utilisées pour de fausses offres d’investissement, de faux services de conseil ou des messages de vérification de compte. Le statut de propriétaire du logement présente un intérêt pour le ciblage de fraudes liées aux prêts immobiliers, aux assurances, à l’immobilier ou au crédit. Les informations sur le niveau de revenus peuvent accroître le risque de fraude ciblée en permettant de déduire la capacité financière d’une personne. Les intitulés de poste peuvent aider à comprendre son niveau d’autorité, son service et son rôle dans les décisions. Les informations sur la situation matrimoniale peuvent être utilisées dans des messages ciblés fondés sur la vie familiale et personnelle. Les noms et prénoms rendent plus convaincants les faux messages d’assistance, de livraison, de facturation et de service client. Les estimations du patrimoine net peuvent servir à repérer des cibles à forte valeur et à personnaliser des fraudes financières. Les numéros de téléphone permettent de mettre en place des scénarios de fraude personnalisés par SMS, appels et applications de messagerie. Les adresses postales peuvent être utilisées dans des messages d’ingénierie sociale portant sur la livraison, la facturation, les abonnements et les services de proximité. Les informations sur les dons politiques peuvent permettre de déduire des éléments sensibles sur les orientations politiques d’une personne.

Des données telles que la situation de crédit, le niveau de revenus, le patrimoine net, le statut de propriétaire du logement, la composition familiale, les dons et les dons politiques peuvent permettre de tirer des conclusions très poussées sur le profil financier et social d’une personne. Même sans mot de passe, ce type de données de profil présente une grande valeur pour la fraude ciblée et la manipulation.

Ce dossier correspond à un ensemble de données de profil désigné sous le nom de Dossiers d’enrichissement de données. Son périmètre se limite aux champs suivants : préférences d’achat, dons, situation de crédit, date de naissance, adresse e-mail, composition familiale, investissements, statut de propriétaire du logement, revenus, intitulé de poste, situation matrimoniale, nom, patrimoine net, numéro de téléphone, adresse postale et dons politiques. Aucune entreprise précise ne doit être présentée comme une source confirmée.

Les catégories absentes de ce dossier ne doivent pas être présentées comme ayant fait l’objet d’une fuite. Des champs tels que les données complètes de carte de paiement, les pièces d’identité officielles, les messages privés, les données de santé, les informations bancaires ou le contenu des appareils ne doivent être ajoutés à l’évaluation des risques que s’ils sont explicitement présents dans le dossier. Le texte repose sur des catégories de données vérifiables et sur les limites connues de l’incident.

Les personnes susceptibles de figurer dans les fichiers de courtiers en données, les utilisateurs dont l’adresse et le numéro de téléphone n’ont pas changé depuis longtemps, les personnes vulnérables aux fraudes ciblant les données de profil financier et celles qui peuvent être ciblées à partir d’informations politiques ou relatives aux dons sont exposées à un risque élevé.

Les utilisateurs qui emploient la même adresse e-mail sur différents services, réutilisent leurs anciens mots de passe, ne séparent pas leurs comptes professionnels et personnels ou communiquent leur numéro de téléphone et leur adresse sur plusieurs plateformes sont davantage exposés. Dans le cadre de la collecte de données ou de l’inscription de profils B2B, le risque doit également être évalué en tenant compte du profil constitué par le rapprochement de différentes sources, plutôt qu’en se limitant à un seul compte.

Ce dossier ne contenant aucun mot de passe, la première mesure à prendre n’est pas de changer de mot de passe. Les utilisateurs doivent vérifier avec soin les recherches et les e-mails portant sur le crédit, les dons, les investissements, l’immobilier, les assurances et les campagnes politiques. Toute demande d’informations sur l’identité, les revenus ou les données bancaires doit être vérifiée par les canaux officiels.

Les utilisateurs pour lesquels une correspondance a été trouvée doivent mettre à jour les mots de passe des comptes sur lesquels ils utilisent des mots de passe identiques ou similaires, activer l’authentification à deux facteurs lorsque cela est possible et vérifier leurs sessions récentes. Lorsqu’un dossier ne contient pas de mots de passe, mais comprend des coordonnées ou des données de profil, il convient de rester vigilant face aux appels, offres, promesses de rendement, propositions de partenariat et messages de vérification inattendus.

À long terme, prendre l’habitude d’utiliser un gestionnaire de mots de passe, des mots de passe uniques et l’authentification à deux facteurs, ainsi que de supprimer les informations personnelles inutiles des comptes, réduit le risque. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites. Il est possible d’envisager une adresse e-mail distincte ou un alias pour les comptes critiques.

Les données de profil étant difficiles à modifier, le risque s’inscrit dans la durée. Les utilisateurs doivent régulièrement examiner les procédures d’opposition proposées par les courtiers en données, la visibilité publique de leur adresse et de leur numéro de téléphone, les vérifications de leurs rapports de crédit et les informations figurant sur leurs profils de réseaux sociaux.

La vérification sur LeakData indique si l’adresse e-mail recherchée est présente dans ce dossier. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur. Il constitue toutefois un avertissement suffisant pour prendre des mesures de précaution. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans cet ensemble de données et n’exclut pas une présence dans d’autres fuites.

Un résultat positif indique que l’adresse e-mail figure dans les Dossiers d’enrichissement de données. Ce résultat ne signifie pas qu’un compte auprès d’une entreprise précise a été compromis. Il exige toutefois une vigilance élevée en raison des données de profil économiques, familiales et politiques concernées.