Fuite de données chez Ducks Unlimited

Les types de données dont la présence est vérifiée sont les dates de naissance, les adresses e-mail, les noms, les numéros de téléphone, les adresses postales et les empreintes MD5 non salées de mots de passe. La combinaison de l'adresse e-mail, du nom, du numéro de téléphone et de l'adresse postale permet de dresser un profil assez précis de l'utilisateur. L'ajout de la date de naissance peut rendre plus convaincants de faux messages de vérification d'adhésion, de mise à jour des dons, de confirmation d'adresse ou de récupération de compte. Le champ de l'adresse postale est particulièrement important, car le risque ne se limite pas à la sécurité des comptes en ligne : il peut aussi faciliter des fraudes ciblées par courrier et par téléphone.

Une empreinte de mot de passe n'est pas un mot de passe en clair, mais une empreinte MD5 non salée n'est pas considérée comme une protection solide. Des attaquants peuvent plus facilement deviner des mots de passe faibles et les essayer sur d'autres comptes utilisant la même adresse e-mail. Les utilisateurs qui adhèrent à des organisations ou leur font des dons peuvent avoir utilisé la même adresse e-mail et le même mot de passe auprès d'autres associations, sur des sites marchands, des forums ou des comptes de messagerie. Il faut donc évaluer la fuite de données de Ducks Unlimited non seulement sous l'angle du risque de spam, mais aussi des risques de prise de contrôle de comptes, de fraude visant les donateurs et d'atteinte à la confidentialité des adresses.

La date vérifiée retenue pour l'incident est le 29 janvier 2021. Le jeu de données a été signalé dans le contexte d'une base de données Ducks Unlimited achetée et vendue en ligne à la mi-2021, puis ajouté aux fiches de fuites vérifiées le 16 novembre 2021. Cette fiche recense 1 324 364 adresses e-mail uniques. Certains récits peuvent évoquer environ 1,3 million d'utilisateurs ou de membres; cette page se fonde sur le nombre exact d'adresses e-mail uniques utilisées dans la requête.

Le périmètre doit être compris à partir de deux listes principales : la liste des membres et celle des utilisateurs du site web. Cela ne signifie pas que les mêmes champs de données sont présents pour chaque personne concernée. Certaines entrées peuvent relever des informations sur les membres, tandis que d'autres concernent les comptes du site web. Les champs dont la présence est vérifiée sont la date de naissance, l'adresse e-mail, le nom, le numéro de téléphone, l'adresse postale et l'empreinte du mot de passe. Les cartes bancaires, les comptes bancaires, les montants des dons, les pièces d'identité officielles et les données de santé sensibles ne font pas partie des catégories de données vérifiées pour cette fiche.

Les personnes les plus exposées sont les membres de Ducks Unlimited, les donateurs et les utilisateurs disposant d'un compte sur le site web. Pour les personnes figurant sur la liste des membres, des champs tels que l'adresse, le numéro de téléphone et la date de naissance peuvent présenter un risque plus direct pour la vie privée. Pour les utilisateurs ayant un compte sur le site web, le risque lié à la réutilisation des mots de passe passe au premier plan. Si la même adresse e-mail et le même mot de passe sont utilisés sur d'autres comptes, des attaquants peuvent tenter de les utiliser sur différents services. Le statut de donateur ou de membre peut servir à inspirer confiance dans de faux messages de renouvellement de don ou de vérification d'adhésion.

Les personnes dont l'adresse postale et le numéro de téléphone ont été divulgués peuvent être ciblées par courrier, par téléphone ou par e-mail. Un attaquant peut préparer une fausse campagne de dons, une mise à jour d'adhésion, une annonce de récompense ou un message de vérification de compte au nom de l'organisation. La date de naissance peut également être utilisée dans ces messages pour renforcer la confiance. Même si les données sont anciennes, des champs comme l'adresse et la date de naissance peuvent rester inchangés pendant longtemps. Les utilisateurs doivent donc protéger non seulement leurs mots de passe, mais aussi leurs canaux de communication.

Si le mot de passe utilisé pour le compte Ducks Unlimited est encore en usage sur un autre compte, il faut le changer immédiatement. Si le même mot de passe, ou un mot de passe similaire, a été utilisé sur des comptes de messagerie, de dons, d'achats, de réseaux sociaux ou de forums, il faut attribuer un mot de passe unique à chacun de ces comptes. L'authentification à deux facteurs doit être activée sur le compte de messagerie principal. Si ce compte est compromis, les liens de réinitialisation des mots de passe des autres comptes sont également menacés. Un gestionnaire de mots de passe facilite le repérage des anciens mots de passe réutilisés.

Les demandes de don, de renouvellement d'adhésion, de vérification d'adresse ou de mise à jour de compte reçues par téléphone, par courrier et par e-mail doivent être examinées avec soin. Même si votre nom, votre adresse ou votre date de naissance figurent correctement dans le message, cela ne suffit pas à prouver qu'il est sûr. Ne donnez pas suite aux demandes de paiement, de numéro de carte, de coordonnées bancaires, de code à usage unique ou de mot de passe, et vérifiez la transaction par les canaux officiels que vous connaissez. Dans cet incident, même si le bénéficiaire du paiement n'a pas été vérifié, les coordonnées divulguées pourraient être utilisées ultérieurement pour obtenir des informations de paiement par la tromperie.

À long terme, il convient d'utiliser des mots de passe distincts et uniques pour les comptes d'adhésion et de dons. Utiliser la même adresse e-mail pour plusieurs comptes liés à des dons, des campagnes et des adhésions accroît le risque de fraude ciblée. Les utilisateurs devraient fermer les comptes web qu'ils n'utilisent plus, revoir leurs préférences de communication et limiter les informations superflues dans leur profil. Les comptes contenant une adresse postale et un numéro de téléphone doivent être vérifiés régulièrement. Même d'anciennes adresses peuvent être exploitées dans le cadre de l'ingénierie sociale comme informations ayant servi à l'authentification par le passé.

Du côté de l'organisation, cet incident montre que les données relatives aux adhésions et aux dons doivent être considérées comme des données personnelles sensibles. Les empreintes de mots de passe ne doivent pas être stockées au moyen de méthodes faibles comme MD5 sans sel; il faut utiliser des méthodes de hachage modernes, salées et coûteuses en ressources. Les listes de membres et d'utilisateurs du site web ne doivent pas être conservées inutilement longtemps, les droits d'accès doivent être limités au minimum, les exportations de gros volumes de données doivent être surveillées et les notifications après une violation de données doivent être claires. La confiance des donateurs dépend non seulement de la protection des données de paiement, mais aussi de celle des adresses et des coordonnées.

Si une correspondance apparaît pour vous dans cette fiche, votre adresse e-mail a pu être retrouvée parmi les 1 324 364 adresses e-mail uniques associées à la fuite de données de Ducks Unlimited. Une correspondance ne signifie pas que les informations de votre carte bancaire ou de votre compte bancaire ont été divulguées. Les champs dont la présence est vérifiée sont la date de naissance, l'adresse e-mail, le nom, le numéro de téléphone, l'adresse postale et l'empreinte MD5 non salée du mot de passe. La première étape consiste à vérifier sur quels autres comptes vous avez réutilisé l'ancien mot de passe de ce compte.

Si votre ancien mot de passe est utilisé sur d'autres comptes, changez-le. Activez la vérification en deux étapes sur votre compte de messagerie et vérifiez les messages relatifs aux adhésions ou aux dons directement par les canaux officiels. Ne communiquez pas précipitamment des informations de paiement ou de vérification en réponse à des messages contenant votre adresse et votre numéro de téléphone. Pour bien appréhender la fuite de données de Ducks Unlimited, il ne suffit pas d'y voir la divulgation d'une liste de membres : il faut reconnaître que des empreintes de mots de passe faibles, combinées à des adresses et à des numéros de téléphone, peuvent entraîner des risques durables de compromission de comptes et de fraude.