Fuite de données chez DemandScience by Pure Incubation

Les catégories de données répertoriées dans la fiche DemandScience by Pure Incubation sont les adresses e-mail, les informations sur l’employeur, les intitulés de poste, les prénoms et noms, les numéros de téléphone, les adresses physiques et les liens vers des profils sur les réseaux sociaux. Les adresses e-mail peuvent servir à des tentatives d’hameçonnage ciblé, à des stratagèmes exploitant la réinitialisation des mots de passe et au rapprochement de comptes sur différents services. Les informations sur l’employeur peuvent être utilisées pour l’hameçonnage en entreprise, les faux messages de fournisseurs et la pression commerciale ciblée. Les intitulés de poste peuvent aider à déterminer le niveau d’autorité, le service et le rôle dans la prise de décision. Les prénoms et noms rendent plus convaincants les faux messages d’assistance, de livraison, de facturation ou de service client. Les numéros de téléphone permettent de créer des scénarios de fraude personnalisés par SMS, appels et applications de messagerie. Les adresses physiques peuvent être utilisées dans des messages d’ingénierie sociale liés aux livraisons, à la facturation, aux abonnements et aux services de proximité. Les liens vers les profils sur les réseaux sociaux peuvent permettre de relier l’identité réelle d’une personne à son activité professionnelle et à ses comptes en ligne.

Lorsque l’employeur, l’intitulé de poste, le numéro de téléphone, l’adresse et le lien vers un profil sur les réseaux sociaux sont réunis, les faux messages de fournisseurs, de vente, de recrutement, de conférence ou de facturation, ainsi que les messages usurpant l’identité d’un dirigeant, deviennent plus crédibles. Une adresse e-mail professionnelle peut déplacer la surface d’attaque d’un compte personnel vers l’entreprise.

La fiche DemandScience est associée au domaine demandscience.com, à l’historique de Pure Incubation et au jeu de données B2B apparu au début de 2024. Le périmètre se limite aux adresses e-mail professionnelles, aux employeurs, aux intitulés de poste, aux noms complets, aux numéros de téléphone, aux adresses physiques et aux liens vers des profils sur les réseaux sociaux. Il convient de partir du principe qu’aucun mot de passe, aucune donnée bancaire ni aucun contenu de compte privé n’y figure.

Les champs absents de la fiche DemandScience ne doivent pas être présentés comme ayant fuité. Les catégories telles que les données complètes de cartes de paiement, les pièces d’identité officielles, les messages privés, les données de santé, les informations bancaires ou le contenu des appareils ne doivent être prises en compte dans l’évaluation des risques que si elles figurent explicitement dans le fichier. Le texte repose sur les catégories de données vérifiables et les limites connues de l’incident.

Les salariés dont les adresses e-mail professionnelles figurent dans le fichier, les personnes exerçant des fonctions commerciales, marketing, financières, de direction, de ressources humaines ou d’achats, les utilisateurs dont les profils LinkedIn correspondent à leur adresse e-mail professionnelle et les équipes susceptibles de recevoir des offres de l’extérieur sont davantage exposés.

Les utilisateurs qui emploient la même adresse e-mail sur différents services, réutilisent d’anciens mots de passe, ne séparent pas leurs comptes professionnels et personnels ou partagent leur numéro de téléphone et leur adresse sur plusieurs plateformes sont davantage exposés. Dans le contexte de la collecte de données ou de la constitution de profils B2B, le risque doit également être évalué en fonction du profil consolidé à partir de différentes sources, plutôt qu’à l’échelle d’un seul compte.

Les utilisateurs pour lesquels une correspondance a été trouvée doivent vérifier les offres d’emploi, propositions commerciales, factures, invitations à des réunions, changements de fournisseur et demandes d’approbation de paiement inattendus en suivant les procédures de validation internes. Puisque le fichier DemandScience ne contient pas de mots de passe, la priorité est la sensibilisation à l’ingénierie sociale et à l’hameçonnage en entreprise.

Les utilisateurs pour lesquels une correspondance a été trouvée doivent modifier les mots de passe des comptes sur lesquels ils utilisent des mots de passe identiques ou similaires, activer l’authentification à deux facteurs lorsque c’est possible et vérifier leurs sessions récentes. Pour les fichiers qui ne contiennent pas de mots de passe, mais comprennent des données de contact ou de profil, il convient de faire preuve de prudence face aux appels, offres, retours, partenariats et messages de vérification inattendus.

À long terme, l’habitude d’utiliser un gestionnaire de mots de passe, des mots de passe uniques et l’authentification à deux facteurs, ainsi que de supprimer les informations personnelles inutiles des comptes, réduit le risque. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites; l’utilisation d’une adresse e-mail distincte ou d’un alias pour les comptes critiques peut être envisagée.

Les entreprises doivent réduire la visibilité publique des coordonnées professionnelles de leurs salariés, mettre en place un second niveau d’approbation pour les opérations financières et les achats, et former les salariés à reconnaître les tentatives d’hameçonnage ciblées selon leur fonction. Les particuliers doivent maintenir une séparation entre leurs comptes professionnels et personnels.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans le fichier DemandScience. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il constitue toutefois un avertissement suffisant pour prendre des mesures de protection. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas la possibilité de figurer dans d’autres fuites.

Un résultat positif indique que l’adresse e-mail est présente dans le jeu de données B2B lié à DemandScience/Pure Incubation. Ce résultat ne signifie pas que le mot de passe a fuité; il doit toutefois être pris en compte au regard des risques de ciblage des entreprises et d’ingénierie sociale.