Fuite de données chez Dave

Les types de données répertoriés dans la fiche Dave présentent un risque élevé compte tenu du contexte financier de l’application. Le nom, l’adresse e-mail, le numéro de téléphone et l’adresse postale permettent, ensemble, d’identifier l’utilisateur et de le contacter directement. Certains services peuvent utiliser la date de naissance pour la récupération d’un compte ou les vérifications effectuées par le service client. Le champ du numéro de sécurité sociale est indiqué comme chiffré; cela ne signifie pas qu’un numéro lisible a été divulgué, mais la seule présence de ce champ dans l’enregistrement rend l’incident plus sensible. Le champ du mot de passe doit lui aussi être considéré comme une empreinte bcrypt, et non comme un mot de passe en clair.

Bien que Bcrypt soit une méthode robuste de stockage des mots de passe, il n’élimine pas complètement les risques liés à ceux-ci. Les mots de passe faibles ou déjà utilisés peuvent être plus vulnérables. Si vous avez réutilisé le même mot de passe pour votre messagerie, des comptes financiers, des sites marchands, des réseaux sociaux ou des comptes professionnels, des attaquants peuvent tenter d’utiliser sur différentes plateformes le mot de passe qu’ils ont réussi à retrouver ou à deviner. Une adresse postale et un numéro de téléphone peuvent rendre plus crédibles les tentatives d’ingénierie sociale : faux appels de représentants d’établissements financiers, messages de vérification de compte, notifications d’avances de trésorerie, offres de crédit ou demandes prétextant une vérification d’identité.

Le nombre de 2 964 182 indiqué dans cette fiche correspond aux adresses e-mail uniques vérifiées. Les données brutes associées à l’incident auraient compté environ 7,5 millions de lignes; ces lignes ne correspondent toutefois pas au nombre d’utilisateurs uniques. Cette distinction est importante, tant pour éviter d’inquiéter inutilement les utilisateurs que pour refléter fidèlement l’étendue réelle de la fuite. L’incident est daté de juin 2020; l’apparition ultérieure des données sur différents forums ou dans des index de données ne change pas la période réelle de la fuite. Cette fiche porte sur les données des utilisateurs de Dave et ne doit pas être confondue avec les données des autres clients du prestataire tiers.

Il convient également de ne pas tirer de conclusions au-delà des catégories de données vérifiées. Dans cette fiche, la présence de dates de naissance, d’adresses e-mail, de noms, d’empreintes de mots de passe bcrypt, de numéros de téléphone, d’adresses postales et du champ chiffré du numéro de sécurité sociale a été vérifiée. La présence de ce champ chiffré ne signifie pas que le numéro est lisible en clair. De même, le fait que l’incident concerne une application financière ne signifie pas que cette fiche contient un historique de transactions ou des informations permettant d’accéder directement aux comptes. Le message à transmettre aux utilisateurs est le suivant : les données d’identité et les coordonnées présentent un risque élevé, il convient de vérifier si des mots de passe ont été réutilisés et de faire preuve de prudence face aux tentatives de fraude à caractère financier.

Le risque est le plus élevé pour les personnes qui ont utilisé l’application Dave et la même adresse e-mail ou le même mot de passe sur d’autres comptes financiers ou personnels. Les utilisateurs d’applications financières peuvent être visés par des prises de contact reposant sur divers scénarios : fausse vérification de compte, problème de paiement, mise à jour concernant une avance de trésorerie, score de crédit, contrôle d’identité ou appel du service client. Si un attaquant connaît votre nom, votre numéro de téléphone, votre adresse et votre date de naissance, ces prises de contact deviennent plus crédibles. Vous devez donc vous méfier non seulement des e-mails reçus, mais aussi des appels téléphoniques et des SMS.

Le risque peut être plus étendu pour les personnes qui ont ouvert un compte Dave avec une adresse e-mail professionnelle. L’exposition des données d’un salarié dans une application de finances personnelles ne signifie pas que les systèmes de son organisation ont été compromis. Toutefois, si le même mot de passe est utilisé pour des comptes professionnels ou si un attaquant envoie un message ciblé à l’adresse professionnelle, l’organisation pourrait être exposée à un risque. En cas d’adresse partagée, de téléphone partagé ou de compte familial, le risque peut aussi concerner d’autres personnes. Les adresses postales peuvent également être utilisées dans des tentatives de fraude reposant sur de faux courriers, de fausses livraisons ou des prétextes de vérification d’identité.

Si vos données correspondent à la fiche Dave, la première mesure consiste à modifier le mot de passe de votre compte Dave et de tous les comptes utilisant un mot de passe identique ou similaire. Vérifiez en priorité vos comptes de messagerie, applications financières, services bancaires, plateformes de paiement, sites marchands et réseaux sociaux. Vos nouveaux mots de passe doivent être uniques et robustes, et générés si possible à l’aide d’un gestionnaire de mots de passe. Activez l’authentification multifacteur sur les comptes importants, fermez les sessions que vous ne reconnaissez pas et mettez à jour vos options de récupération.

La deuxième mesure consiste à vous prémunir contre les tentatives d’ingénierie sociale à caractère financier. Ne communiquez aucun code de vérification, mot de passe, accès à un compte ou renseignement personnel supplémentaire, même si la personne qui vous appelle ou vous écrit prétend représenter Dave, un établissement financier, une équipe d’assistance ou un service d’authentification. Si vous devez vérifier l’état d’un compte, utilisez une application connue ou un canal de connexion officiel. Dans votre messagerie, vérifiez les règles de transfert, les adresses de récupération et l’activité de connexion récente. Si vous soupçonnez une transaction financière frauduleuse ou une utilisation frauduleuse de votre identité, contactez directement les prestataires concernés.

L’incident Dave montre que la protection des données personnelles stockées dans les applications financières ne se limite pas à la sécurité des mots de passe. Utilisez des mots de passe uniques et une protection multifacteur sur tous vos comptes servant aux opérations financières, à la messagerie et aux procédures d’authentification. N’oubliez pas que les numéros de téléphone et les adresses postales peuvent être exploités dans des scénarios de fraude. La surveillance régulière de votre crédit et de l’utilisation de votre identité peut vous aider à repérer des ouvertures de comptes inattendues, des demandes frauduleuses ou des notifications financières suspectes. Si vous n’utilisez plus d’anciens comptes d’applications financières, fermez-les ou examinez leurs paramètres de conservation des données.

Pour les entreprises de technologie financière, la leçon à retenir est que les risques liés aux prestataires tiers peuvent avoir des conséquences directes sur la sécurité des clients. Il convient de délimiter clairement les catégories de données clients auxquelles peuvent accéder les prestataires chargés de l’analyse, du développement ou de l’assistance. Les mots de passe doivent être stockés à l’aide de méthodes robustes, les champs contenant des données d’identité sensibles doivent rester chiffrés, les partages de données non nécessaires doivent être réduits au minimum et les accès des tiers doivent être régulièrement audités. Après une fuite, il faut expliquer clairement aux utilisateurs quelles catégories de données ont été touchées et lesquelles ne l’ont explicitement pas été.

Si le résultat de la vérification sur cette page correspond à la fiche Dave, considérez-le comme sensible. Commencez par mettre fin à la réutilisation des mots de passe, puis activez une vérification supplémentaire sur vos comptes de messagerie et vos comptes financiers. Méfiez-vous des liens inattendus, des demandes de codes de vérification, des messages annonçant le blocage d’un compte et des formulaires de mise à jour d’identité qui se présentent comme provenant de Dave ou de tout autre service financier. Les adresses postales et les numéros de téléphone faisant également partie du périmètre de risque, surveillez non seulement vos e-mails, mais aussi les appels et les messages.

Bien que la fuite de Dave soit ancienne, les données d’identité et les coordonnées conservent longtemps leur valeur. Les empreintes de mots de passe Bcrypt ne signifient pas directement que les mots de passe sont lisibles; le risque persiste toutefois lorsque les mots de passe sont faibles ou réutilisés. Le champ chiffré du numéro de sécurité sociale ne signifie pas non plus directement que le numéro est accessible en clair, mais il rend la fiche sensible. Considérez cette fiche comme un avertissement concret : revoyez vos pratiques en matière de mots de passe, protégez vos comptes financiers, surveillez les signes d’utilisation frauduleuse de votre identité et procédez à des vérifications plus strictes lors de prises de contact inattendues à caractère financier.