Exposition présumée de données chez DFB.de

Les types de données répertoriés dans cette fiche sont les champs Adresses e-mail et Mots de passe. Lorsqu’une adresse e-mail et un mot de passe sont réunis, des attaquants peuvent essayer la même combinaison sur d’autres sites web, comptes de messagerie, réseaux sociaux, services de billetterie ou plateformes d’achat. Le format de hachage et les détails techniques du champ de mot de passe n’ayant pas été vérifiés de manière fiable, cette fiche ne doit pas être présentée comme contenant avec certitude des mots de passe en clair. Cependant, pour les utilisateurs, la démarche la plus appropriée consiste à considérer ce mot de passe comme exposé. Le contexte du football, des adhésions, des événements, des lettres d’information et des comptes de supporters permet aux attaquants de préparer de faux billets, de fausses campagnes promotionnelles, de faux renouvellements d’adhésion ou de faux messages liés aux jours de match. Si vous avez également utilisé le même mot de passe pour votre messagerie personnelle, le risque ne se limite pas à DFB.de : il peut s’étendre à d’autres comptes.

Le volume vérifié est de 2 700 518 lignes; ce nombre ne doit pas être interprété comme le nombre de personnes distinctes. Une même adresse e-mail peut apparaître sur plusieurs lignes, et certains enregistrements peuvent provenir d’anciens ensembles de données d’identification ou d’ensembles en double. Cette fiche n’étant pas répertoriée comme une fuite officielle dans les registres de vérification couramment utilisés, et en l’absence d’annonce publique de l’organisme concerné, l’indicateur de vérification doit rester désactivé. À l’inverse, l’indicateur de données sensibles doit être activé en raison de la catégorie Mots de passe. Les catégories de données se limitent aux champs d’adresse e-mail et de mot de passe. Le nom, le numéro de téléphone, l’adresse postale, la carte de paiement, la pièce d’identité officielle, l’historique d’achat de billets et le profil d’adhérent ne font pas partie des champs vérifiés. Cette distinction doit être maintenue pour orienter correctement les utilisateurs : ces enregistrements doivent être traités non comme une preuve officielle de fuite de données au sein de l’organisme, mais comme un ensemble de données d’identification à haut risque associé au nom de domaine.

Les personnes à risque sont celles qui ont créé un compte associé au domaine dfb.de et qui ont pu utiliser la même adresse e-mail pour des événements de football, des lettres d’information, des adhésions de supporters ou des services numériques connexes. Les personnes qui réutilisent la même adresse e-mail et le même mot de passe sur d’autres services sont les plus exposées. Les supporters de football peuvent être ciblés par l’intermédiaire de services de billetterie, d’adhésions à des clubs, de notifications de tournois et de messages promotionnels. En cas de réutilisation du mot de passe, les attaquants peuvent d’abord essayer d’accéder au compte de messagerie, puis tenter d’accéder aux comptes de réseaux sociaux, d’achat, de streaming et de jeux. Pour les personnes utilisant une adresse e-mail professionnelle, le risque s’étend aussi à leur compte professionnel : si le même mot de passe est utilisé sur un service sans lien avec le travail, les tentatives d’accès aux systèmes de l’entreprise pourraient augmenter. Même lorsque d’anciens comptes ont été oubliés, le mot de passe divulgué peut rester utilisé sur d’autres comptes.

Si votre adresse e-mail apparaît dans cette fiche, ne considérez plus comme sûr le mot de passe que vous utilisez sur DFB.de ou sur le service de football concerné. Commencez par définir un mot de passe unique pour chacun des comptes sur lesquels le même mot de passe a pu être utilisé. Vérifiez en priorité vos comptes de messagerie, bancaires, de réseaux sociaux, d’achat, de billetterie et de stockage dans le cloud. Activez l’authentification multifacteur sur les services qui la proposent. Avant de cliquer sur un lien dans un message inattendu concernant des billets, une campagne promotionnelle pour un jour de match, un renouvellement d’adhésion, une suspension de compte ou une alerte de sécurité, connectez-vous directement à votre compte à partir d’une adresse web connue. Un gestionnaire de mots de passe facilite la détection des mots de passe réutilisés. Si le même mot de passe a aussi été utilisé sur un compte professionnel, informez l’équipe de sécurité de votre organisation : cette situation peut transformer un risque pour un compte personnel en un risque d’accès aux systèmes de l’entreprise.

Les ensembles de données d’identification peuvent circuler pendant des années, et d’anciens mots de passe peuvent être essayés à nouveau lors de nouvelles attaques. Utilisez un mot de passe unique pour chaque service, fermez vos anciens comptes d’adhérent et vérifiez régulièrement les mots de passe faibles ou réutilisés à l’aide d’un gestionnaire de mots de passe. Même si les plateformes de sport, de billetterie, de divertissement et les plateformes communautaires peuvent sembler peu risquées, la réutilisation de leur mot de passe sur d’autres comptes offre un point d’entrée aux attaquants. Pour les organismes, les dispositifs empêchant la réutilisation des mots de passe, l’authentification multifacteur, la surveillance des tentatives de connexion suspectes et le nettoyage des anciens comptes constituent des mesures importantes contre les fuites de mots de passe. Les enregistrements associés à des noms de domaine qui n’ont pas fait l’objet d’une vérification officielle doivent également être gérés avec prudence : les limites de ce qui peut être affirmé doivent être respectées, mais lorsque le champ de mot de passe est présent, il faut recommander fermement aux utilisateurs de prendre des mesures. Vérifiez également régulièrement si la même adresse e-mail figure dans d’autres fuites.

La vérification effectuée avec LeakData indique si votre adresse e-mail figure dans cet ensemble d’identifiants associé à DFB.de. Un résultat positif ne prouve pas qu’un incident a été vérifié officiellement par l’organisme concerné. Toutefois, la présence de champs d’adresse e-mail et de mot de passe implique que le mot de passe doit être considéré comme exposé. Les mesures à prendre sont claires : remplacez les mots de passe identiques ou similaires sur tous les services, donnez la priorité à votre compte de messagerie, activez l’authentification multifacteur et ne donnez pas suite à des messages inattendus concernant des billets ou des adhésions sans les vérifier. Les informations relatives au nom, au téléphone, à l’adresse ou à la carte de paiement n’étant pas vérifiées dans cette fiche, il ne faut pas susciter d’inquiétude excessive au sujet de ces champs. Si la même adresse e-mail apparaît dans d’autres fuites, le risque augmente : les attaquants peuvent combiner d’anciennes informations de mot de passe avec de nouveaux messages d’ingénierie sociale pour rendre leurs tentatives de prise de contrôle de comptes plus efficaces.