Digimon Liste de données utilisée pour le spam

Les types de données confirmés dans la fiche Digimon sont les adresses e-mail, les données relatives aux messages électroniques, les adresses IP et les noms. Les données relatives aux messages peuvent être associées à leur objet, à des journaux de distribution ou de suivi, ainsi qu’à des informations sur les interactions avec les campagnes, comme les ouvertures et les clics. L’analyse conjointe de ces champs peut fournir des indices sur les campagnes d’e-mails qui ciblent une personne et sur les messages avec lesquels elle a pu interagir. L’association du nom et de l’adresse e-mail facilite la personnalisation des messages. Les adresses IP peuvent également fournir des informations techniques sur l’infrastructure d’envoi ou le contexte de connexion.

Il est important de noter que ces données ne contiennent aucun mot de passe; il ne faut donc pas vous annoncer directement que le mot de passe de votre compte a été compromis. Le risque ne doit toutefois pas être sous-estimé. Les listes de spam et les journaux de suivi des e-mails peuvent aider des attaquants à envoyer des messages de marketing, de campagne, de facturation, d’abonnement ou de vérification de compte qui vous paraissent plus crédibles. Si votre adresse e-mail est déjà identifiée comme une adresse active et suivie, elle peut acquérir davantage de valeur pour de futures campagnes de spam et d’hameçonnage. Les mesures à prendre doivent donc porter sur la sécurité de la messagerie et sur l’habitude de vérifier les messages.

Le nombre 7 687 679 indiqué dans cette fiche correspond au nombre vérifié d’adresses e-mail uniques concernées. Certaines sources externes peuvent mentionner des nombres bruts d’enregistrements plus élevés; toutefois, le nombre brut de lignes ne correspond pas au nombre de destinataires uniques ni de personnes réelles. Une même adresse e-mail peut figurer dans plusieurs campagnes ou lignes de suivi, certaines lignes peuvent être manquantes et certains journaux peuvent se composer d’enregistrements techniques de distribution. Le nombre qui vous est présenté reste donc celui des adresses e-mail uniques dont la présence est vérifiable. La date retenue pour l’incident reste le 5 septembre 2016.

Les limites concernant les champs de données doivent également rester claires. Dans la fiche Digimon, les adresses e-mail, les données relatives aux messages électroniques, les adresses IP et les noms sont des champs vérifiés. Il ne faut pas ajouter à cette fiche d’autres champs de données à haut risque dont la présence n’a pas été vérifiée. Bien que le modèle économique exact du service ne soit pas entièrement clair, les données sont considérées comme liées à des journaux d’envoi et de suivi d’e-mails. La fiche doit donc être classée dans la catégorie des listes de spam et des données de campagnes d’e-mails, et non dans celle des comptes de réseaux sociaux ou de commerce de détail.

Les personnes les plus exposées sont celles dont l’adresse e-mail figure dans les journaux de Digimon et qui peuvent recevoir des messages personnalisés reprenant leur nom. Ces personnes n’ont pas nécessairement perdu les identifiants de connexion d’un compte; en revanche, leurs adresses peuvent avoir été vérifiées comme appartenant à des destinataires actifs et associées à des données de marketing ou de suivi. Cette situation permet aux diffuseurs de spam ou aux escrocs de préparer plus facilement des messages qui paraissent dignes de confiance en s’adressant à la personne par son nom. Si des indicateurs d’ouverture ou de clic liés aux campagnes sont disponibles, ces personnes peuvent être davantage ciblées à l’avenir.

Les adresses e-mail professionnelles sont également exposées. La présence d’une adresse professionnelle dans une liste de spam ne signifie pas que les systèmes de l’entreprise ont été compromis; toutefois, des attaquants peuvent regrouper les personnes utilisant le même domaine et préparer des campagnes d’hameçonnage visant les entreprises. Pour les adresses personnelles, le risque provient surtout du spam continu, des faux messages d’abonnement, des formulaires de campagne et des messages se faisant passer pour des demandes de vérification de compte. Lorsqu’un nom et une adresse e-mail sont associés, vous pouvez penser que le message provient réellement d’une marque ou d’un service.

Si votre compte correspond à une entrée des données Digimon, la première étape consiste à vérifier la sécurité de votre compte de messagerie. Même si le mot de passe ne figure pas dans ces données, ce compte doit être protégé par un mot de passe fort et unique, car il constitue le point central de récupération de vos comptes sur d’autres services. Activez l’authentification multifacteur, fermez les sessions inconnues et vérifiez les règles de transfert ainsi que les options de récupération. Ne cliquez pas directement sur les liens présents dans les messages, notamment ceux qui commencent par votre nom, qu’il s’agisse de messages de campagne, d’abonnement, de facturation, d’expédition ou de vérification de compte.

La deuxième étape consiste à renforcer les filtres contre le spam et l’hameçonnage. Laissez les filtres antispam de votre fournisseur de messagerie activés, bloquez les expéditeurs suspects et n’ouvrez pas les pièces jointes inattendues. Ne faites pas confiance à un message simplement parce qu’il contient votre nom ou votre adresse e-mail. Si une adresse professionnelle est concernée, informez l’équipe de sécurité de votre organisation, car le risque de spam ciblé ou d’hameçonnage peut augmenter. Si nécessaire, transmettez les messages suspects à cette équipe avant de les supprimer, et vérifiez si d’autres personnes ont reçu des messages similaires.

Le cas Digimon montre qu’une adresse e-mail n’est pas seulement un canal de communication : elle peut aussi constituer un indicateur comportemental pour les attaquants. Vous pouvez envisager d’utiliser des adresses différentes selon les usages : communications personnelles, achats, lettres d’information et travail. Lorsque les comptes critiques sont séparés, une seule liste de spam ne peut pas permettre de relier l’ensemble de votre identité numérique. Faites le tri dans vos anciens abonnements aux lettres d’information, désabonnez-vous des campagnes inutiles et ne saisissez pas votre adresse e-mail principale dans des formulaires suspects. Mettez en place une vérification supplémentaire permanente pour vos comptes critiques.

Pour les services d’envoi d’e-mails en masse, la leçon à retenir est que les journaux de distribution et de suivi constituent eux aussi des données personnelles. Même lorsqu’un journal ne contient pas de mot de passe, des informations telles que le nom, l’adresse e-mail, l’objet des messages et les données d’ouverture et de clic peuvent servir à établir un profil individuel. Les systèmes d’envoi d’e-mails doivent donc être protégés par des contrôles d’accès, des durées de conservation définies, le masquage des données dans les journaux, des restrictions réseau et des audits de sécurité réguliers. Les anciens journaux de distribution devenus inutiles ne doivent pas être conservés pendant de longues périodes, et les infrastructures de messagerie tierces doivent faire l’objet d’audits réguliers.

Si le résultat de la vérification sur cette page correspond à une entrée Digimon, considérez-le non comme une fuite de mot de passe, mais comme un risque lié à l’exposition de votre adresse e-mail et à sa présence dans des listes de spam. Protégez solidement votre compte de messagerie et examinez avec attention les messages de campagne et de vérification de compte inattendus. N’ouvrez pas directement leurs liens et effectuez les démarches nécessaires depuis la page de connexion habituelle du service concerné. N’oubliez pas qu’un message dont l’expéditeur dispose de votre nom et de votre adresse e-mail exacts peut lui aussi être frauduleux.

Bien que la fuite Digimon soit ancienne, les adresses e-mail et les indicateurs de suivi peuvent circuler dans des listes de spam pendant des années. Cette fiche doit être considérée comme un avertissement concret vous invitant à renforcer vos bonnes pratiques de messagerie, à réduire les abonnements inutiles, à utiliser une vérification supplémentaire pour vos comptes critiques et à faire preuve de davantage de prudence face aux messages suspects. Puisque la présence d’un champ de mot de passe n’a pas été vérifiée, la bonne approche consiste à privilégier la sécurité de votre compte de messagerie et la vigilance face à l’hameçonnage, plutôt qu’à vous inquiéter inutilement au sujet de vos mots de passe.