Fuite de données chez DriveSure

Les types de données dont la présence a été vérifiée sont les adresses e-mail, les noms, les numéros de téléphone, les adresses postales, les informations sur les véhicules et un nombre limité d'empreintes de mots de passe. Les informations sur les véhicules désignent la marque, le modèle, le numéro VIN et, dans certains enregistrements, des détails concernant le kilométrage ou l'entretien. Le numéro VIN et l'historique du véhicule peuvent établir un lien direct avec un véhicule qu'une personne possède ou utilise. Ces informations peuvent servir à rendre crédibles des messages frauduleux portant sur l'assurance, l'entretien, la garantie, les rappels, les dossiers de sinistre ou l'achat et la vente de véhicules.

La distinction essentielle concernant le champ du mot de passe porte sur la nature des données signalées : un mot de passe en clair ou une empreinte de mot de passe bcrypt. Bcrypt rend difficile la lecture directe des mots de passe, mais n'élimine pas complètement le risque pour les mots de passe faibles ou réutilisés. La combinaison de l'adresse, du numéro de téléphone et des informations sur le véhicule permet de constituer un profil particulièrement utile pour l'hameçonnage et les escroqueries téléphoniques. Un attaquant pourrait s'appuyer sur la marque de votre véhicule ou son historique d'entretien pour préparer de fausses offres d'extension de garantie, de réduction sur l'entretien ou de renouvellement d'assurance, ou encore de faux avis de sécurité concernant le véhicule.

La date vérifiée retenue pour l'incident est le 19 décembre 2020. L'accès non autorisé a été détecté en décembre 2020, et c'est en janvier 2021 qu'il est apparu que les données avaient fait l'objet d'une tentative de vente à des tiers non autorisés. Cette fiche recense 3 675 099 adresses e-mail uniques. Certains articles de presse peuvent évoquer environ 3,2 millions ou 3,7 millions de personnes. Cet écart tient aux différences entre le nombre de lignes, le nombre d'adresses e-mail uniques et les chiffres arrondis. Le chiffre principal utilisé dans cette fiche correspond au nombre d'adresses e-mail uniques.

Il ne faut pas élargir le périmètre de l'incident. Dans sa déclaration, l'entreprise indiquait que le tiers non autorisé n'avait pas eu accès à des informations permettant d'ouvrir un compte de crédit. Cette fiche n'inclut pas non plus les numéros de carte bancaire, de compte bancaire ou d'identification officielle parmi les catégories de données concernées. Cependant, le nom, l'adresse, le numéro de téléphone, l'adresse e-mail, le VIN et les détails du véhicule sont utiles pour commettre d'autres formes de fraude que l'usurpation d'identité. Compte tenu du petit nombre d'empreintes de mots de passe, le risque lié aux mots de passe n'est pas le même pour tous les enregistrements. Il ne faut néanmoins pas négliger la possibilité qu'un même mot de passe ait été utilisé sur d'autres services.

Le groupe le plus exposé comprend les clients qui achètent des véhicules chez des concessionnaires utilisant DriveSure, y font entretenir leur véhicule ou participent au programme d'entretien ou de fidélité. Ces personnes peuvent n'avoir jamais vu le nom DriveSure : leur inscription peut avoir été créée dans le cadre des services du concessionnaire. Les anciens propriétaires de véhicules, les acheteurs de véhicules d'occasion, les clients dont les garanties font l'objet d'un suivi et les personnes participant à certaines campagnes d'entretien peuvent également être exposés. Les informations sur le véhicule permettent aux attaquants d'élaborer des scénarios plus convaincants et ciblés sur celui-ci, plutôt que de recourir à des tentatives d'hameçonnage génériques.

Même lorsque l'adresse et le numéro de téléphone ne sont plus à jour, le risque n'est pas complètement éliminé. D'anciennes adresses peuvent être reliées à des lieux de résidence antérieurs, à des véhicules précédemment possédés ou à un historique d'entretien. Associées à une adresse e-mail actuelle, d'anciennes informations sur un véhicule peuvent faire de l'utilisateur une cible pour de faux messages concernant la garantie, l'entretien, un rappel ou l'assurance. Pour le petit groupe concerné par les empreintes de mots de passe, il existe un risque supplémentaire : le même mot de passe pourrait être essayé sur d'autres comptes. La fuite de données de DriveSure appelle donc une vigilance à la fois face aux fraudes liées aux services automobiles et en matière de sécurité des comptes.

Faites preuve de prudence face aux e-mails et aux appels téléphoniques inattendus concernant DriveSure, les concessionnaires automobiles, les garanties, les rendez-vous d'entretien ou les renouvellements d'assurance. Ne considérez pas votre interlocuteur comme digne de confiance au seul motif qu'il connaît la marque, le modèle ou le VIN de votre véhicule. Ne donnez pas suite aux demandes de paiement, de coordonnées de carte bancaire, de codes à usage unique, de coordonnées bancaires ou de documents d'identité. Contactez directement le concessionnaire ou le service concerné à l'aide de numéros de téléphone que vous connaissez. Ne prenez pas de rendez-vous et ne renouvelez pas de garantie par l'intermédiaire de liens suspects.

Si vous connaissez le mot de passe utilisé pour DriveSure ou pour le compte du concessionnaire concerné, changez-le. Si vous avez utilisé le même mot de passe pour d'autres comptes liés à l'automobile, à l'assurance, à la messagerie ou aux achats, attribuez également un mot de passe unique à chacun de ces comptes. Protégez solidement votre compte de messagerie, activez l'authentification à deux facteurs et mettez à jour les options de récupération. Vérifiez régulièrement les documents liés au véhicule, les dossiers d'entretien et les messages d'assurance. Demandez des explications sur tout paiement de garantie ou d'entretien que vous ne reconnaissez pas. Les filtres contre les appels indésirables et les règles de messagerie réduisent également le risque d'ingénierie sociale.

À long terme, renseignez-vous sur les services tiers qui ont accès aux données lors de l'achat et de l'entretien d'un véhicule. Désactivez les autorisations de prospection commerciale inutiles accordées aux concessionnaires et, si possible, mettez à jour ou supprimez les anciennes informations sur vos véhicules et vos adresses. Utiliser une adresse e-mail distincte de votre adresse principale pour les services automobiles peut réduire l'impact des fuites sur vos comptes principaux. Ne partagez pas de documents sensibles ni d'informations VIN liés au véhicule sur des profils publics : ces informations peuvent être utilisées dans de faux messages d'entretien ou d'assurance.

Pour les entreprises, l'incident DriveSure montre la nécessité de protéger les données clients détenues par les concessionnaires et leurs prestataires. Les informations sur un véhicule ne sont pas de simples données techniques : ce sont des données personnelles qui relient une personne à son adresse physique, à son historique d'entretien et à ses habitudes d'achat. Il convient de raccourcir les durées de conservation, de supprimer les anciens dossiers clients, de surveiller les exportations de données en grand volume et de limiter les accès des fournisseurs. Les empreintes de mots de passe doivent être protégées par des méthodes robustes, et les notifications aux clients doivent être claires et transmises en temps utile.

Si vous voyez une correspondance dans cette fiche, votre adresse e-mail a peut-être été trouvée parmi les 3 675 099 adresses e-mail uniques associées à la fuite de données de DriveSure. Une correspondance ne signifie pas nécessairement que vous avez vous-même ouvert un compte DriveSure : vos informations ont pu être intégrées au système DriveSure dans le cadre de votre relation avec un concessionnaire automobile ou un service d'entretien. Vous devez donc examiner conjointement l'historique de votre véhicule, vos relations passées avec des concessionnaires et l'adresse e-mail concernée. Même si le risque lié aux empreintes de mots de passe ne concerne qu'un nombre limité d'enregistrements, changez les mots de passe réutilisés.

L'association de l'adresse, du numéro de téléphone, de l'adresse e-mail et des informations sur le véhicule peut donner une forte crédibilité à des messages frauduleux. Vérifiez toute offre inattendue d'entretien, de garantie ou d'assurance concernant votre véhicule directement auprès de l'organisme concerné, par son canal de communication officiel. Même si les données financières sont insuffisantes pour ouvrir un compte de crédit, le risque d'hameçonnage et de fraude ciblant votre véhicule est réel. La réponse à la fuite de données de DriveSure ne doit pas se limiter à un changement de mot de passe : elle doit aussi tenir compte du risque d'utilisation abusive, à long terme, des informations sur le véhicule, de l'adresse et des coordonnées.