Fuite de données chez DoorDash

Les types de données vérifiés dans la fiche DoorDash sont les adresses e-mail, les noms, les numéros de téléphone, les adresses de livraison ou les codes postaux, les informations de base sur les commandes et les données partielles de carte de paiement. Lorsque l’adresse e-mail, le nom et le numéro de téléphone sont réunis, les faux messages d’assistance, les notifications de problème de livraison ou les demandes de vérification de compte deviennent plus convaincants. L’adresse de livraison et le code postal renseignent sur la zone où la personne vit ou passe fréquemment commande. Si ce contexte ne constitue pas à lui seul une usurpation complète d’identité, il facilite la personnalisation des messages frauduleux.

Bien que les informations partielles sur les cartes soient limitées, elles ne sont pas pour autant anodines. Le type de carte et les quatre derniers chiffres peuvent être utilisés dans un faux échange avec le service client pour gagner la confiance de l’utilisateur. Le numéro complet de carte et le compte bancaire n’étant pas présents, cette fiche ne permet pas d’établir un risque de prélèvement direct sur la carte. En revanche, il faut s’attendre à des messages tentant de convaincre l’utilisateur de fournir des informations supplémentaires. Si des informations de base sur les commandes ont été consultées pour un groupe plus restreint, de faux scénarios de retour, de livraison manquante, de bon de réduction ou d’ajustement de frais peuvent paraître plus réalistes.

L’incident vérifié remonte à août 2022 et est lié à une campagne d’hameçonnage lancée par l’intermédiaire du réseau de prestataires. DoorDash a déclaré avoir désactivé l’accès du prestataire et contenu l’incident après avoir remarqué une activité inhabituelle. Le nombre de personnes concernées est consigné dans ce rapport sous la forme de 367 476 adresses e-mail personnelles uniques. La déclaration officielle ne dit pas que tous les utilisateurs de DoorDash ont été touchés; elle indique que les données d’un faible pourcentage d’entre eux ont été affectées. Les catégories de données concernées peuvent également varier d’une personne à l’autre.

Les limites du périmètre sont particulièrement importantes. Lors de cet incident, les mots de passe, les numéros complets de carte de paiement, les numéros de compte bancaire, les numéros de sécurité sociale et les numéros d’assurance sociale n’ont pas été signalés parmi les données consultées. Il ne faut donc pas considérer que l’utilisateur a subi une fuite de mot de passe ou de données complètes de carte. Les données partielles de carte désignent uniquement des éléments d’identification limités. Par ailleurs, cette fiche ne correspond pas à l’incident de DoorDash de 2019, qui concernait environ 4,9 millions de personnes. L’incident de 2022 lié au prestataire a un périmètre plus restreint, mais constitue une fuite distincte qui mérite une attention particulière en raison des informations de livraison et des données partielles de paiement.

Le groupe le plus exposé est celui des consommateurs dont DoorDash détenait les informations en 2022 et qui ont reçu une notification en lien avec l’incident. Les personnes dont le numéro de téléphone et l’adresse de livraison sont présents peuvent être ciblées par des messages provenant de faux livreurs ou de faux services clients, ou proposant un remboursement de commande. Pour les utilisateurs du groupe plus restreint dont les données partielles de carte ou les informations de base sur les commandes sont concernées, ces messages peuvent être plus convaincants : l’attaquant peut tenter de rendre l’échange crédible en utilisant des détails tels que les quatre derniers chiffres de la carte ou le contexte de commandes passées.

Les livreurs appelés Dashers peuvent également être concernés par l’incident. La déclaration officielle indiquait que le nom, le numéro de téléphone ou l’adresse e-mail de ce groupe pouvaient avoir été touchés. Ces personnes pourraient être ciblées par de faux messages de paiement, de virement de leurs revenus ou de vérification de compte, ainsi que par des appels de faux représentants de l’assistance. Les données des restaurants et des prestataires ne sont pas au centre de cette fiche. Toutefois, compte tenu des différents rôles au sein de l’écosystème DoorDash, les utilisateurs doivent vérifier attentivement à quel type de compte le message s’adresse. La fuite de données de DoorDash accroît notamment le risque d’ingénierie sociale par téléphone et par SMS.

Ne cliquez pas sur les liens contenus dans des e-mails ou des SMS inattendus concernant DoorDash, ne donnez pas suite aux appels inattendus à ce sujet et ne communiquez pas de codes à usage unique. Vérifiez directement dans l’application officielle ou sur votre compte en ligne les messages prétendant concerner une adresse de livraison, un retour de commande, une vérification de compte ou une correction de paiement. Ne faites pas confiance à la personne qui vous appelle simplement parce qu’elle connaît des informations partielles sur votre carte. Une véritable équipe d’assistance ne devrait pas vous demander votre numéro complet de carte, vos coordonnées bancaires, votre mot de passe ou un code de vérification à usage unique.

Utiliser un mot de passe fort et unique pour votre compte DoorDash reste une bonne mesure de sécurité. Toutefois, aucun accès aux mots de passe n’ayant été signalé dans cet incident, la principale mesure urgente consiste à faire preuve de vigilance face au risque d’ingénierie sociale. Si vous recevez davantage de communications indésirables sur votre ligne téléphonique, utilisez les filtres proposés sur votre appareil et par votre opérateur. Continuez à surveiller les opérations inhabituelles sur vos relevés de carte : c’est une bonne habitude générale de sécurité, même si le périmètre vérifié de cette fiche ne comprend ni numéros complets de carte ni comptes bancaires. Les Dashers doivent effectuer des vérifications supplémentaires pour les demandes de virement de leurs revenus, les changements de compte bancaire ou les appels de l’assistance.

À long terme, vérifiez régulièrement les adresses, les numéros de téléphone et les informations sur les moyens de paiement enregistrés dans vos comptes de livraison et d’achat. Supprimez les adresses que vous n’utilisez plus et les moyens de paiement inutiles. Pour les comptes utilisés dans le cadre de campagnes promotionnelles, privilégiez des adresses e-mail distinctes de votre adresse principale. N’utilisez pas le même schéma de mot de passe sur différentes plateformes de livraison. Protégez solidement votre compte de messagerie, car les liens de récupération des comptes de livraison sont souvent envoyés par e-mail.

Pour les entreprises, l’incident de DoorDash montre que l’accès accordé aux prestataires tiers représente un risque direct pour les données des clients. Les prestataires doivent appliquer le principe du moindre privilège, limiter les accès dans le temps, utiliser une authentification forte, mettre en place des alertes en cas d’accès inhabituel et recourir à une vérification des employés résistante à l’hameçonnage. Les plateformes de livraison doivent protéger les données des utilisateurs non seulement dans leurs propres systèmes, mais aussi chez les prestataires auxquels elles font appel. Même si les données partielles de carte et les informations sur les commandes semblent limitées, les conséquences sur la confiance des clients et le risque de fraude sont importantes.

Si une correspondance apparaît dans cette fiche, votre adresse e-mail a peut-être été trouvée parmi les 367 476 adresses e-mail uniques associées à la fuite de données de DoorDash de 2022. Une correspondance ne signifie pas que votre mot de passe ou votre numéro complet de carte a été divulgué. Elle indique toutefois que des données telles que votre nom, votre adresse e-mail, votre numéro de téléphone, votre adresse de livraison ou, pour un groupe plus restreint, des informations de base sur vos commandes et des données partielles de carte pourraient présenter un risque. La première étape consiste à vérifier votre compte DoorDash par un canal officiel et à traiter les messages inattendus avec méfiance.

Votre adresse de livraison, votre numéro de téléphone ou des informations partielles sur vos paiements peuvent être utilisés dans un message frauduleux. Ne communiquez donc aucun code à usage unique, numéro complet de carte, renseignement bancaire ou mot de passe à une personne qui prétend représenter l’assistance. Les Dashers doivent vérifier directement dans l’application officielle les demandes de virement de leurs revenus et de vérification de compte. La bonne réaction à une fuite de données de DoorDash consiste à reconnaître que les catégories de données vérifiées provenant du prestataire peuvent servir à des attaques d’ingénierie sociale, sans présenter abusivement l’incident comme une fuite complète de données financières, et à renforcer la sécurité des comptes et des communications.