Fuite de données chez Data & Leads

Les types de données vérifiés dans la fiche Data & Leads sont les adresses e-mail, les employeurs, les adresses IP, les intitulés de poste, les noms, les numéros de téléphone et les adresses postales. Cette combinaison révèle non seulement les coordonnées d’une personne, mais aussi son contexte professionnel et les moyens de la joindre. Un attaquant ou un réseau de marketing malveillant peut associer un nom, une entreprise, un intitulé de poste et une adresse e-mail pour rédiger des messages qui semblent personnalisés. Les numéros de téléphone et les adresses postales peuvent également rendre les tentatives de fraude plus convaincantes. Les adresses IP, quant à elles, peuvent fournir des indices supplémentaires sur le contexte de connexions passées, la région ou le fournisseur d’accès réseau.

Les données de la fuite Data & Leads ne comportent aucun champ de mot de passe. Cette distinction est importante : il ne faut pas annoncer directement à l’utilisateur que le mot de passe de son compte a été compromis. Néanmoins, des champs tels que l’adresse e-mail professionnelle, le numéro de téléphone et l’intitulé de poste permettent à un attaquant de contacter plus facilement la personne. Les personnes exerçant des fonctions de direction, de vente, de finance, de ressources humaines, d’achats ou de décision technique peuvent être plus exposées à des attaques reposant sur de fausses offres, des redirections de paiements, des modifications de factures, des invitations à des réunions ou l’usurpation de l’identité d’un partenaire. L’évaluation du risque doit donc porter davantage sur la sécurité des communications et la sensibilisation à l’ingénierie sociale que sur le changement des mots de passe.

La fuite Data & Leads repose sur 44 320 330 adresses e-mail uniques. Les articles de presse consacrés à l’incident peuvent mentionner un nombre brut d’enregistrements plus élevé. Toutefois, le nombre brut de lignes ne correspond pas au nombre de personnes ou d’adresses e-mail uniques. Une même personne peut apparaître dans plusieurs lignes de données, certains enregistrements peuvent être incomplets et certaines informations professionnelles peuvent être obsolètes. Le nombre affiché à l’utilisateur représente donc le nombre vérifié d’adresses e-mail uniques couvertes. Le lien du jeu de données avec le marketing et la prospection indique également que les informations qu’il contient ont pu être compilées à partir de différentes sources.

Il convient aussi de préciser clairement les limites concernant les champs de données. Dans la fiche Data & Leads, les mots de passe et les données financières ou médicales très sensibles ne font pas partie des champs vérifiés. La présence de l’intitulé de poste d’une personne ou d’informations sur son employeur ne signifie pas que les systèmes de l’entreprise ont été compromis. De même, le champ d’adresse postale ne correspond pas nécessairement à une adresse personnelle pour chaque personne : il peut s’agir d’une adresse professionnelle, de celle d’un bureau ou d’un autre type d’adresse figurant dans une liste marketing. Le texte doit donc énumérer explicitement les champs vérifiés sans affirmer qu’ils sont tous aussi complets et à jour pour chaque personne.

Le groupe le plus exposé est celui des professionnels dont l’adresse e-mail professionnelle et les coordonnées directes figurent dans ce jeu de données. Les équipes commerciales, les responsables, les propriétaires d’entreprise, les consultants, les équipes de recrutement, le personnel des services financiers et les décideurs techniques peuvent être particulièrement ciblés. Lorsqu’un attaquant connaît l’entreprise et la fonction d’une personne, il peut élaborer un scénario plus convaincant. Il peut, par exemple, créer des messages qui semblent correspondre à une demande d’un nouveau client, à un partenariat commercial, à une correction de facture, à un lien de réunion, à un fichier de proposition commerciale ou à une communication des ressources humaines. Ces attaques peuvent conduire l’utilisateur vers un lien malveillant ou l’inciter à fournir de nouvelles informations, indépendamment des mots de passe.

Les petites entreprises et les professionnels indépendants doivent également faire preuve de prudence. Lorsqu’un numéro de téléphone ou une adresse personnelle se mêle aux communications professionnelles, la surface d’attaque augmente. Ces personnes gérant généralement leurs comptes professionnels et personnels avec la même adresse e-mail ou le même numéro de téléphone, une fuite provenant d’une liste marketing peut permettre un profilage identitaire plus large. Pour les adresses e-mail associées à des noms de domaine d’entreprise, le risque ne se limite pas à l’individu : les attaquants peuvent rapprocher les données de plusieurs personnes d’une même entreprise pour reconstituer son organigramme et préparer des campagnes de messages plus ciblées.

Si votre adresse e-mail correspond à une entrée dans les données Data & Leads, examinez en priorité avec davantage d’attention les offres d’emploi, les invitations à partager des fichiers, les notifications de factures, les liens de réunion et les messages de mise à jour de compte que vous recevez. N’ouvrez pas directement les liens contenus dans les messages et vérifiez, par un canal distinct, les pages qui vous demandent de télécharger un fichier ou de vous connecter. Pour les demandes reçues par téléphone, confirmez l’identité de votre interlocuteur en utilisant un numéro connu de l’organisation concernée ou un canal de communication déjà vérifié. Les messages rédigés à partir d’informations sur votre employeur ou votre poste peuvent sembler crédibles : la présence de renseignements personnels exacts ne suffit donc pas à rendre un message fiable.

Vérifiez également la sécurité de votre messagerie professionnelle. Bien que le mot de passe ne fasse pas partie de la fuite Data & Leads, le risque peut augmenter si l’adresse e-mail professionnelle a figuré dans d’autres fuites de données. Utilisez donc des mots de passe uniques et une authentification multifacteur pour les comptes critiques. Vérifiez les règles de transfert, les sessions inconnues et les options de récupération de votre compte de messagerie. Au sein des organisations, les équipes commerciales, financières et de direction doivent être averties qu’elles pourraient recevoir des messages ciblés liés à Data & Leads. Un second processus d’approbation doit notamment être mis en place pour les demandes de redirection de paiements ou de modification des informations concernant les fournisseurs.

L’incident Data & Leads montre qu’il ne faut pas sous-estimer les jeux de données de marketing et de prospection en matière de sécurité personnelle. Les professionnels doivent régulièrement vérifier où ils communiquent leurs coordonnées professionnelles, se désinscrire des newsletters et des fichiers de fournisseurs de données qui ne leur sont pas utiles, et faire preuve de prudence lorsqu’ils ajoutent un numéro de téléphone ou une adresse personnelle à des formulaires liés au travail. Les entreprises doivent également éviter de diffuser excessivement les adresses e-mail et les numéros de téléphone directs de leurs employés dans des sources publiques. Lorsque la visibilité des coordonnées est inévitable, les procédures de vérification destinées à prévenir la fraude doivent être renforcées.

Pour les entreprises qui traitent des données, la leçon à retenir est que les listes marketing contiennent elles aussi des données personnelles à protéger. L’absence de mots de passe ou d’informations de paiement dans une liste ne signifie pas qu’elle présente peu de risques. La combinaison de l’adresse e-mail, du numéro de téléphone, de l’employeur, de l’intitulé de poste et de l’adresse postale a une grande valeur pour l’ingénierie sociale ciblée. Les bases de données doivent donc être protégées par des contrôles d’accès, une authentification, des restrictions réseau, une journalisation et des principes visant à ne pas conserver de données inutiles. Les organisations qui travaillent avec des fournisseurs de données tiers doivent régulièrement contrôler quelles données sont stockées, où et pendant combien de temps.

Si le résultat de la vérification sur cette page indique une correspondance avec la fiche Data & Leads, votre adresse e-mail a pu figurer dans des données de contacts professionnels ou de marketing. La première étape consiste à vérifier plus rigoureusement les messages professionnels envoyés à cette adresse. Même si un message contient des informations exactes sur votre employeur, votre poste ou votre numéro de téléphone, confirmez l’authenticité de la demande par un canal distinct avant de cliquer sur un lien ou d’ouvrir un fichier. Les numéros de téléphone et les adresses postales pouvant également faire partie de la fuite, examinez avec attention les appels inattendus et les notifications reçues par courrier postal.

Cette fuite ne contenant pas de mots de passe, un simple changement de mot de passe ne suffit pas. L’objectif principal est de réduire les risques de profilage identitaire et de fraude par le biais des communications. Renforcez la sécurité de votre messagerie professionnelle, utilisez des vérifications supplémentaires sur les comptes importants, transmettez les messages suspects à l’équipe de sécurité de votre organisation et prenez l’habitude de vérifier par un second moyen les demandes de paiement ou de documents. De leur côté, les organisations doivent surveiller les domaines concernés et adresser aux employés des avertissements courts et clairs sur les scénarios d’attaques ciblées.