Fuite de données chez Drizly

Les catégories de données vérifiées pour les comptes Drizly sont les dates de naissance, les informations sur les appareils, les adresses e-mail, les adresses IP, les noms, les numéros de téléphone, les adresses postales et les empreintes de mots de passe produites avec bcrypt. La date de naissance et l’adresse permettent de dresser un profil d’identité plus complet d’une personne. Lorsque le numéro de téléphone et l’adresse e-mail sont réunis, de faux messages d’assistance, de livraison, de vérification de l’âge ou de mise à jour du compte peuvent paraître plus convaincants. L’adresse IP et les informations sur l’appareil peuvent fournir des indices supplémentaires sur l’environnement réseau approximatif de l’utilisateur et sur le type d’appareil qu’il utilise.

La protection des empreintes de mots de passe par bcrypt est préférable à une fuite de mots de passe en clair. Le risque subsiste néanmoins pour les mots de passe faibles, courts ou réutilisés. Si la même adresse e-mail et le même mot de passe ont été utilisés pour d’autres comptes d’achat, de livraison, de messagerie ou de réseaux sociaux, des attaquants pourraient essayer cette combinaison. La nature du service, consacré à la commande de boissons alcoolisées, renforce également les enjeux de confidentialité : l’âge, l’adresse et le contexte de consommation de l’utilisateur pourraient servir de base à des messages plus ciblés. La fuite de données de Drizly doit donc être évaluée non seulement sous l’angle du changement des mots de passe, mais aussi de la sécurité des communications et des adresses.

L’incident vérifié date de juillet 2020 et est associé à 2 479 044 adresses e-mail uniques. Certaines sources peuvent évoquer environ 2,5 millions de clients; ce chiffre arrondi est cohérent avec le nombre d’adresses e-mail uniques recensées dans la fiche. Les documents réglementaires abordent également les vulnérabilités de sécurité antérieures de Drizly et les lacunes concernant la sécurité des comptes des employés. Ces informations apportent un contexte technique; toutefois, le principal risque à présenter à l’utilisateur concerne les champs de données clients vérifiés et les possibilités d’utilisation abusive de ces données.

Il est important de ne pas élargir ce périmètre. Dans cette fiche, le numéro complet de carte bancaire, le compte bancaire, le numéro de pièce d’identité officielle, le contenu des commandes et le mot de passe en clair ne sont pas présentés comme des catégories de données vérifiées. Le risque lié aux mots de passe doit être apprécié en tenant compte du hachage bcrypt. La fermeture ultérieure de Drizly n’annule pas les conséquences de la fuite de 2020, car des données comme l’adresse e-mail, le numéro de téléphone, la date de naissance et l’adresse postale peuvent rester inchangées pendant longtemps. Cette fiche se limite à l’incident de 2020 touchant les données clients de Drizly; il ne faut pas le confondre avec d’autres services d’Uber ni avec des incidents distincts survenus par la suite.

Le groupe le plus exposé est constitué des clients qui ont créé un compte Drizly ou commandé des boissons alcoolisées par l’intermédiaire de Drizly avant 2020. Les personnes qui utilisent la même adresse e-mail pour d’autres comptes de livraison, de courses alimentaires, d’achat ou de messagerie peuvent être plus facilement ciblées. La date de naissance et l’adresse peuvent donner aux messages frauduleux une apparence personnalisée. Les utilisateurs dont le numéro de téléphone figure dans les données peuvent s’attendre à recevoir de faux appels concernant une livraison, une vérification de l’âge, une mise à jour de compte ou une promotion.

Les utilisateurs qui réutilisent le même mot de passe sur différents services sont également exposés. Si la protection par hachage bcrypt rend difficile la lecture immédiate du mot de passe, le risque de tentatives d’attaque subsiste pour les mots de passe anciens et faibles. Même si vous n’utilisez plus Drizly comme service indépendant, vous utilisez peut-être encore votre ancien mot de passe Drizly pour votre compte e-mail, votre compte Uber, des plateformes de livraison ou d’autres comptes de boutiques. Les données qui ne changent pas, comme l’adresse postale et la date de naissance, peuvent servir à personnaliser des messages d’hameçonnage, même des années après l’incident.

Si vous utilisez encore ailleurs le mot de passe de votre compte Drizly, changez-le immédiatement. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, pour votre messagerie, vos comptes d’achat ou de livraison, des comptes associés à un moyen de paiement ou votre compte Uber, attribuez un mot de passe unique à chacun. Protégez votre compte e-mail avec l’authentification à deux facteurs. Si vous ne pouvez plus accéder à votre ancien compte Drizly, vérifiez les autres comptes associés à la même adresse e-mail et fermez toute session suspecte.

Soyez attentif aux messages reçus par téléphone ou par e-mail concernant une livraison, une vérification de l’âge, une mise à jour de votre inscription ou une campagne promotionnelle. Même si votre date de naissance, votre adresse ou votre numéro de téléphone y figurent correctement, ne considérez pas le message comme fiable. Au lieu de cliquer sur les liens, ouvrez directement l’adresse du service concerné. Refusez les demandes de numéros de carte bancaire, de codes à usage unique, d’informations bancaires ou de mots de passe. Même si aucune donnée financière n’est vérifiée dans cette fiche, les informations personnelles divulguées peuvent ensuite servir à tromper une personne pour qu’elle communique des informations financières.

À long terme, vérifiez régulièrement les adresses, numéros de téléphone et dates de naissance conservés dans vos comptes sur les plateformes de livraison et les sites marchands. Fermez les comptes inutilisés, supprimez les adresses obsolètes et privilégiez des adresses e-mail distinctes de votre adresse principale pour les comptes utilisés à des fins promotionnelles. Un gestionnaire de mots de passe facilite la vérification de la présence d’un ancien mot de passe Drizly sur d’autres comptes. L’adresse postale et la date de naissance étant des informations qui ne changent pas, traitez avec prudence les messages personnalisés qui s’y réfèrent, même des années plus tard.

Pour les entreprises, l’incident Drizly montre que les comptes de développeurs et les identifiants d’accès au cloud peuvent présenter un risque direct pour la base de données clients. Le principe du moindre privilège, la rotation régulière des clés d’accès, l’authentification forte sur les comptes des employés, les alertes en cas d’accès inhabituel aux données et la suppression des données clients inutiles sont des mesures essentielles. Les décisions réglementaires concernant Drizly soulignent aussi l’importance de la minimisation des données et de la responsabilité individuelle. Lorsque les données clients conservées sont limitées au minimum, l’étendue des conséquences d’une fuite est également réduite.

Si vous constatez une correspondance dans cette fiche, votre adresse e-mail peut faire partie des 2 479 044 adresses e-mail uniques associées à la fuite de données de Drizly. Une correspondance ne signifie pas que votre numéro complet de carte bancaire ou votre mot de passe en clair a été divulgué. Elle indique toutefois que des données telles que la date de naissance, l’adresse, le numéro de téléphone, les informations sur l’appareil, l’adresse IP et l’empreinte bcrypt du mot de passe présentent un risque pour votre sécurité. La première étape consiste à vérifier si le mot de passe que vous utilisiez à l’époque sur Drizly est encore utilisé sur d’autres comptes.

Même si Drizly n’existe plus comme application indépendante, les données divulguées peuvent encore être exploitées grâce à d’anciennes adresses e-mail, numéros de téléphone et adresses postales. Méfiez-vous des messages concernant une livraison, une vérification de l’âge, une mise à jour de compte ou une campagne promotionnelle. Le fait qu’un message contienne des informations vous concernant ne le rend pas digne de confiance. Sécurisez le compte e-mail concerné, vos comptes de livraison et vos comptes associés à un moyen de paiement. Face à la fuite de données de Drizly, la bonne approche n’est pas d’y voir de simples archives d’un service désormais fermé, mais de reconnaître que des données personnelles durables peuvent encore être utilisées à des fins d’ingénierie sociale.