Fuite de données chez Deezer

Les catégories de données dont la présence est confirmée comprennent les dates de naissance, les adresses e-mail, les informations de genre, les localisations géographiques, les adresses IP, les noms, les langues parlées et les noms d’utilisateur. Même si ces champs ne comprennent pas de mots de passe, ils permettent d’établir un profil détaillé des utilisateurs. Les adresses e-mail et les noms d’utilisateur peuvent servir à relier des comptes sur différentes plateformes. Les noms, les dates de naissance et les informations de localisation apportent des éléments supplémentaires sur l’identité réelle de l’utilisateur. Une adresse IP peut donner des indices sur la région de connexion, le fournisseur d’accès à Internet ou les habitudes générales de connexion. La combinaison de la langue préférée et de la localisation peut rendre les faux messages plus convaincants.

Le principal risque associé à ce jeu de données est l’hameçonnage personnalisé et l’ingénierie sociale. Un attaquant qui connaît le compte de l’utilisateur sur le service musical, son adresse e-mail et les détails de son profil peut créer de faux messages concernant un abonnement, la sécurité du compte, un renouvellement de paiement ou une campagne promotionnelle. Des messages qui ressemblent à des notifications officielles du service peuvent diriger l’utilisateur vers une fausse page de connexion ou l’inciter à remplir des formulaires demandant des informations de paiement. Même si le mot de passe n’a pas été divulgué, le risque augmente lorsque l’adresse e-mail et les informations du profil sont combinées avec d’autres jeux de données. La fuite de Deezer doit donc être considérée comme un ensemble de données sans mots de passe, mais particulièrement utile pour le suivi des utilisateurs et la fraude ciblée.

Le périmètre confirmé concerne 229 037 936 comptes. Les données datent du 22 avril 2019, leur ajout a eu lieu le 2 janvier 2023 et la mise à jour date du 9 décembre 2025. Les champs divulgués portent principalement sur les profils des comptes et les identifiants de contact. Les informations dont la présence est confirmée ne comprennent ni mots de passe, ni cartes de paiement, ni coordonnées bancaires, ni détails de paiement liés à des abonnements actifs. Deezer a déclaré avoir été touché par l’utilisation abusive d’une copie de données appartenant à un ancien prestataire et a indiqué que ses systèmes principaux n’avaient pas été affectés. Cette distinction est importante pour hiérarchiser correctement les mesures de sécurité des comptes.

Définir clairement ces limites permet d’éviter de donner aux utilisateurs une perception erronée du risque. Dans le cadre de cet incident, la réinitialisation du mot de passe ne doit pas être présentée comme une mesure obligatoire consécutive à la fuite de données, car les mots de passe ne figurent pas parmi les catégories de données confirmées. Il reste toutefois conseillé de se méfier des faux messages provenant de la même adresse e-mail. Des informations telles que la date de naissance, le nom, la localisation et le nom d’utilisateur peuvent être détournées dans des questions de vérification d’identité, des échanges avec l’assistance ou des procédures de récupération de compte. Le risque porte donc davantage sur l’hameçonnage, les faux messages d’assistance, la fraude à l’abonnement et le rapprochement de profils personnels que sur la compromission directe des mots de passe.

Le groupe le plus exposé est constitué des personnes qui utilisent leur vrai nom, leur adresse e-mail principale et leur localisation actuelle sur leur compte Deezer. Ces utilisateurs peuvent être plus vulnérables aux faux messages envoyés au nom du service concernant des factures, des renouvellements d’abonnement, des offres familiales, des essais gratuits ou la sécurité du compte. Le risque augmente également pour les personnes qui utilisent la même adresse e-mail pour leurs comptes de réseaux sociaux, d’achats, de jeux ou professionnels, car les attaquants peuvent relier différents comptes grâce à cette adresse commune. Les scénarios d’hameçonnage peuvent être plus efficaces, puisque les messages de campagne, de promotion ou de paiement liés aux services musicaux peuvent inciter les utilisateurs à réagir rapidement.

Le deuxième groupe à risque comprend les personnes qui n’utilisent plus leur ancien compte Deezer, mais conservent la même adresse e-mail active. Les comptes inutilisés sont souvent oubliés, mais l’adresse e-mail et les données de profil présentes dans la fuite restent précieuses pour les attaquants. Les personnes qui utilisent une offre familiale peuvent aussi être ciblées par l’intermédiaire des adresses e-mail associées aux comptes de leurs enfants ou des membres de leur famille. Pour les utilisateurs qui ont ouvert un compte sur un service musical avec une adresse e-mail professionnelle, une fuite de données personnelles peut donner lieu à de faux messages ciblant leur identité professionnelle. L’évaluation du risque ne doit donc pas se limiter au seul compte Deezer : les autres comptes associés à la même adresse e-mail doivent également être pris en compte.

Accédez d’abord à votre compte Deezer en saisissant directement le nom de domaine dans votre navigateur ou en utilisant une application mobile de confiance. N’utilisez pas les liens contenus dans des e-mails pour accéder aux fonctions de sécurité du compte, de renouvellement de paiement ou aux paramètres d’abonnement. Examinez attentivement le domaine de l’expéditeur, les fautes d’orthographe, les formulations pressantes et les formulaires demandant des informations de paiement dans les messages reçus. Même si la divulgation du mot de passe n’a pas été confirmée, il est raisonnable d’adopter un mot de passe robuste et unique si vous utilisez le même depuis longtemps ou sur plusieurs comptes. Activez l’authentification multifacteur sur les services essentiels associés à la même adresse e-mail que votre compte Deezer.

Si vous recevez des messages suspects, vérifiez l’état de votre abonnement depuis l’écran de connexion officiel avant de cliquer sur un lien. Examinez également les messages qui demandent des informations de paiement ou prennent pour prétexte le renouvellement de votre carte : même si cette fuite ne contient pas de données de paiement, les attaquants peuvent créer des messages d’hameçonnage sur ce thème. Vérifiez l’historique des connexions, les options de récupération et les appareils connectés à votre compte de messagerie. Si vous avez d’anciens comptes ouverts avec la même adresse e-mail, attribuez-leur des mots de passe uniques et fermez les comptes inutiles. Ces mesures rendent plus difficile l’exploitation des données de profil de la fuite pour atteindre d’autres comptes.

L’incident de Deezer montre que les fuites de données sans mots de passe présentent elles aussi des risques de sécurité à long terme. Examinez régulièrement dans quelle mesure vous réutilisez la même adresse e-mail, le même nom d’utilisateur et trop d’informations personnelles de profil sur différents services. L’utilisation d’adresses e-mail distinctes pour les comptes essentiels réduit le risque de rapprochement entre les fuites. L’authentification multifacteur, des mots de passe uniques et un gestionnaire de mots de passe fiable doivent rester des protections de base. Privilégiez un partage limité dans les champs de profil lorsque la date de naissance, la localisation ou le vrai nom ne sont pas nécessaires.

À long terme, la meilleure défense consiste à ne pas considérer un message reçu comme fiable au seul motif qu’il contient des informations personnelles. Un e-mail peut mentionner correctement votre nom, votre date de naissance ou votre localisation; cela ne signifie pas qu’il est légitime. Lancez toujours les opérations liées aux abonnements, aux paiements et à la sécurité des comptes directement depuis l’interface officielle du service. Faites régulièrement le tri dans vos anciens comptes, fermez les abonnements inutilisés et vérifiez les paramètres de partage des données. Vous réduirez ainsi l’intérêt des anciennes fuites de données de profil pour de nouvelles tentatives de fraude.

La vérification Deezer sur LeakData vous aide à savoir si votre adresse e-mail est associée à cette fuite de données. Si le résultat est positif, commencez par examiner attentivement les messages concernant Deezer, les abonnements, les paiements et la sécurité des comptes envoyés à votre adresse e-mail. Accédez à votre compte uniquement par le domaine officiel ou une application de confiance. Activez l’authentification multifacteur sur les autres services où vous utilisez la même adresse e-mail et adoptez des mots de passe uniques si vous avez réutilisé les mêmes par le passé. Méfiez-vous particulièrement des faux messages d’assistance contenant votre date de naissance, votre localisation et votre nom.

Même si votre adresse e-mail n’apparaît pas dans cette fuite, éviter de répéter inutilement les informations de votre profil sur différentes plateformes reste une bonne habitude de sécurité. Comme la fuite de données de Deezer ne contenait ni mots de passe ni données de paiement, le risque direct de prise de contrôle d’un compte est plus limité; en revanche, le risque d’hameçonnage ciblé et de fraude à l’abonnement est élevé. Les principales mesures à prendre consistent donc à éviter les liens suspects, à utiliser l’écran de connexion officiel, à renforcer la sécurité de votre messagerie et à limiter la présence des mêmes informations personnelles sur différents services.