Fuite de données chez Dunzo

Les types de données confirmés sont les informations sur les appareils, les adresses e-mail, les informations de localisation géographique, les adresses IP, les noms et les numéros de téléphone. L'association d'un numéro de téléphone et d'une adresse e-mail permet de mener des tentatives de fraude ciblées par SMS, appel et e-mail. Le nom permet de personnaliser le message. Les champs d'adresse IP et de localisation géographique peuvent fournir des indications sur la zone approximative où se trouve l'utilisateur ou sur la ville dans laquelle il utilise le service. Les informations sur l'appareil peuvent donner un indice supplémentaire sur le type d'appareil ou le profil technique utilisé.

Dans ce cas, aucune fuite de mots de passe n'ayant été confirmée, le risque direct de prise de contrôle d'un compte est plus limité que lors d'une fuite de mots de passe. En revanche, les coordonnées et les données de localisation constituent des leviers importants d'ingénierie sociale. Un attaquant peut demander des informations supplémentaires à l'utilisateur sous prétexte d'un changement d'adresse de livraison, d'un remboursement, d'un retard de commande, d'un code promotionnel ou d'une mise à jour du compte. Les utilisateurs dont le numéro de téléphone figure dans les données sont davantage exposés aux faux appels et SMS. Le contexte géographique peut donner l'impression que le message correspond bien à la zone où l'utilisateur vit ou bénéficie de services.

La date confirmée de l'incident est le 19 juin 2020, et la fiche a été ajoutée aux listes de fuites confirmées le 29 juillet 2020. Le nombre d'adresses e-mail uniques concernées est de 3 465 259. Certains articles de presse peuvent évoquer environ 3,4 millions, 3,5 millions, voire davantage; cette page s'appuie sur le nombre d'adresses e-mail uniques confirmées utilisées pour la recherche. Il a été confirmé que le jeu de données a circulé sur des forums en ligne et qu'il était associé aux données de Dunzo.

Il ne faut pas élargir ce périmètre. Dans cette fiche, les mots de passe, les cartes de paiement, les comptes bancaires, les pièces d'identité officielles, les adresses physiques, le contenu des commandes, les achats de médicaments et l'historique détaillé des livraisons ne sont pas des catégories de données confirmées. Le champ de localisation géographique ne signifie pas que des coordonnées GPS exactes sont disponibles pour chaque utilisateur; il peut aussi désigner une zone plus limitée ou un contexte de localisation. Il ne faut donc pas laisser croire aux utilisateurs que leur adresse exacte de livraison ou leur historique détaillé de commandes fait partie du périmètre confirmé. Le risque réel réside dans l'utilisation combinée des coordonnées et des données relatives aux appareils, aux adresses IP et à la localisation.

Le groupe le plus exposé est celui des clients qui utilisent les services de livraison, de courses, de transport de colis ou de transport intra-urbain de Dunzo. Les utilisateurs dont le numéro de téléphone et l'adresse e-mail figurent dans les données peuvent être ciblés par de fausses notifications de suivi de livraison ou de faux appels du service client. Le nom et le contexte géographique peuvent donner l'impression que le message repose sur un véritable historique d'utilisation du service. Pour les personnes qui utilisent le même numéro de téléphone sur plusieurs comptes de livraison et d'achat, le risque d'être ciblées sur plusieurs services augmente.

Les utilisateurs ayant bénéficié de services dans les villes indiennes où Dunzo est présent peuvent être plus facilement identifiables. Les informations sur l'adresse IP et l'appareil peuvent aider l'attaquant à personnaliser le message en fonction d'un appareil particulier ou du contexte régional. Aucune fuite de mots de passe n'ayant été confirmée, la priorité ne doit pas être de changer le mot de passe, mais de reconnaître les communications frauduleuses. Toutefois, si le mot de passe utilisé pour le compte Dunzo est faible et sert également sur d'autres plateformes, il est recommandé d'utiliser un mot de passe unique et une vérification supplémentaire pour renforcer la sécurité globale des comptes. Cet incident est particulièrement important au regard des arnaques téléphoniques et de l'hameçonnage par SMS.

Les messages inattendus envoyés au nom de Dunzo au sujet d'une livraison, d'un retour, d'une promotion, d'une vérification de compte ou d'une correction de paiement doivent être examinés avec attention. Même si votre nom, votre numéro de téléphone ou votre localisation apparaît correctement dans le message, cela ne prouve pas qu'il est sûr. Au lieu de cliquer sur le lien, connectez-vous directement au compte concerné à partir de l'adresse officielle ou de l'application. Si une personne vous appelle et vous demande un numéro de carte, des informations bancaires, un code à usage unique, un mot de passe ou une pièce d'identité, interrompez la démarche.

Activez l'authentification à deux facteurs sur votre compte de messagerie et utilisez les filtres contre les communications indésirables et les fraudes sur votre ligne téléphonique. Vous pouvez examiner les informations visibles et les préférences de communication de votre compte Dunzo. Aucune fuite de mots de passe n'ayant été confirmée dans cet incident, cette seule fiche ne justifie pas une panique générale autour des mots de passe; utiliser un mot de passe unique pour les comptes sensibles associés à la même adresse e-mail reste toutefois une bonne mesure de sécurité. Les demandes de paiement et les étapes de vérification de compte doivent également faire l'objet d'une vérification indépendante dans tous les messages liés aux plateformes de livraison.

À long terme, les numéros de téléphone et les adresses e-mail utilisés pour les comptes de livraison et d'achat doivent être régulièrement réexaminés. Utiliser une adresse distincte de votre adresse e-mail principale pour les promotions et les services de livraison peut réduire les conséquences des fuites de données sur vos comptes principaux. Évitez de communiquer votre numéro de téléphone sur des comptes qui n'en ont pas besoin, fermez les anciens comptes et limitez les informations visibles dans votre profil. N'oubliez pas que les champs techniques, tels que l'adresse IP, les informations sur l'appareil et la localisation, sont aussi des données personnelles.

Pour les exploitants de plateformes, l'incident Dunzo montre que l'accès accordé à des systèmes tiers représente un risque direct pour les données clients. Les accès des prestataires doivent être limités, l'accès aux données clients doit être géré selon le principe du moindre privilège, les exportations de gros volumes de données doivent être surveillées et les coordonnées, comme les numéros de téléphone et les adresses e-mail, ne doivent pas être conservées inutilement. Même lorsque les données de paiement ne sont pas touchées, l'utilisation abusive des coordonnées et des données de localisation porte gravement atteinte à la confiance des utilisateurs.

Si vous voyez une correspondance dans cette fiche, votre adresse e-mail peut avoir été trouvée parmi les 3 465 259 adresses e-mail uniques associées à la fuite de données Dunzo. Une correspondance ne signifie pas que votre mot de passe, votre carte de paiement ou votre historique de commandes a été divulgué. Les champs confirmés sont les informations sur l'appareil, l'adresse e-mail, la localisation géographique, l'adresse IP, le nom et le numéro de téléphone. La première étape consiste à examiner plus attentivement les messages liés à des livraisons qui sont envoyés à cette adresse e-mail et à ce numéro de téléphone.

N'ouvrez pas directement les liens envoyés au nom de Dunzo ou de plateformes de livraison similaires; vérifiez votre compte par le canal officiel. Ne communiquez pas de codes à usage unique, de données de carte de paiement ou de mots de passe lors de demandes de paiement, de remboursement ou de vérification de compte reçues par téléphone. Face à une fuite de données Dunzo, la bonne démarche n'est pas de paniquer à propos d'affirmations non confirmées concernant les mots de passe ou l'historique des commandes, mais de reconnaître que les coordonnées et les données de localisation pourraient être utilisées dans des fraudes ciblées, et de renforcer votre vigilance à l'égard des messages.