Fuite de données chez E-Pal

Lorsque l’adresse e-mail et le nom d’utilisateur figurent ensemble dans la fiche E-Pal, un attaquant peut tenter de relier l’utilisateur à différents profils sur des plateformes de jeux vidéo et des réseaux sociaux. Les enregistrements d’achats peuvent, quant à eux, servir à des attaques d’ingénierie sociale en permettant de comprendre les services qu’une personne utilise sur la plateforme, le contexte de son historique de commandes ou les types de services qu’elle a payés. Ces champs ne constituent pas, à eux seuls, des informations de carte de paiement; ils peuvent toutefois rendre plus convaincants de faux messages de remboursement, de vérification de commande ou d’assistance.

Aucune fuite de mots de passe n’ayant été vérifiée pour cette fiche, le risque de craquage direct des mots de passe est limité. Néanmoins, l’association de l’adresse e-mail et du nom d’utilisateur peut servir de point de départ à des tentatives de prise de contrôle de comptes. Si le même nom d’utilisateur est réutilisé dans différentes communautés de jeux ou sur plusieurs comptes sociaux, le risque de rapprochement entre profils augmente. Le contexte des achats permet aussi à l’attaquant de préparer de fausses factures, demandes d’assistance ou communications de vérification de compte qui semblent personnalisées pour l’utilisateur.

Le périmètre principal vérifié pour cette fiche est de 108 887 adresses e-mail uniques. Le chiffre d’environ 1 million d’enregistrements d’achats ou de commandes correspond au nombre de lignes; il ne doit pas être interprété comme le nombre de personnes distinctes. Un même utilisateur peut avoir effectué plusieurs transactions. Il convient donc de bien distinguer, dans les explications fournies à l’utilisateur, le nombre d’adresses e-mail uniques du nombre d’enregistrements de transactions.

Les catégories de données vérifiées sont les adresses e-mail, les noms d’utilisateur et les enregistrements d’achats. Les mots de passe, les adresses IP, les numéros de téléphone, les adresses postales, les cartes de paiement, les comptes bancaires, les noms réels, les messages privés et les soldes de compte ne doivent pas être ajoutés au périmètre vérifié de cette fiche. La présence de données d’achat ne signifie pas que des informations de carte de paiement ou des données bancaires ont été divulguées. Le périmètre se limite aux identifiants des comptes utilisateurs et aux éléments de contexte des transactions réalisées sur la plateforme.

Les personnes ayant acheté des services sur E-Pal ou créé un profil visible avec un nom d’utilisateur constituent le groupe le plus exposé. Elles peuvent être ciblées par de fausses confirmations de commande, notifications de retour, demandes d’assistance, alertes d’abonnement ou liens de vérification de compte. L’utilisation conjointe de l’adresse e-mail et du nom d’utilisateur peut donner l’impression que le message s’appuie sur l’historique réel de l’utilisateur sur la plateforme.

Le risque de rapprochement entre profils est plus élevé pour les personnes qui réutilisent le même nom d’utilisateur dans des jeux et des communautés sociales. Si ce nom d’utilisateur apparaît sur différentes plateformes, des attaquants peuvent tenter d’en déduire les préférences de jeu, les relations sociales ou les services utilisés par la personne. Pour les utilisateurs inscrits avec une adresse e-mail professionnelle, le risque peut prendre la forme de messages d’hameçonnage ciblés, envoyés sur leur messagerie professionnelle à partir d’informations liées à leur compte personnel de réseau social ou de jeu.

Si votre adresse e-mail figure dans la fiche E-Pal, examinez attentivement les messages de commande, de retour, d’assistance, de vérification de compte ou de campagne promotionnelle présents dans votre boîte de réception. Au lieu de cliquer sur le lien du message, connectez-vous au compte concerné directement depuis son adresse officielle. Même si cette fiche ne confirme pas de fuite de mots de passe, activer l’authentification à deux facteurs sur les autres comptes utilisant la même adresse e-mail et le même nom d’utilisateur, et faire le point sur la réutilisation de vos mots de passe, constituent des précautions adaptées.

Les informations issues de l’historique d’achats peuvent rendre plus convaincants de faux messages de retour ou de vérification de paiement. La présence d’informations de carte de paiement n’étant pas vérifiée pour cette fiche, mieux vaut vérifier les demandes de paiement par les canaux officiels plutôt que de paniquer. Vérifiez les paramètres de confidentialité des comptes de jeux, de réseaux sociaux et de communautés sur lesquels vous utilisez le même nom d’utilisateur. Réduire la visibilité de ce nom sur les comptes inutilisés, ou fermer ces comptes, diminue le risque.

L’incident E-Pal montre que les enregistrements d’achats peuvent exposer un utilisateur à des attaques d’ingénierie sociale ciblées, même s’ils ne contiennent pas d’informations de carte de paiement. Les plateformes devraient limiter la durée de conservation des données de transaction au strict nécessaire, réduire au minimum les identifiants d’utilisateur conservés et surveiller rigoureusement l’accès aux historiques d’achats. Du côté des utilisateurs, l’emploi d’alias d’adresse e-mail distincts pour les différents services sociaux et de jeux rend le rapprochement entre profils plus difficile.

À long terme, les utilisateurs devraient utiliser des mots de passe distincts pour leurs comptes de jeux, de réseaux sociaux, de places de marché et de paiement. Même si les mots de passe ne font pas partie des catégories de données vérifiées pour cette fiche, la fuite de l’adresse e-mail peut accroître les tentatives de connexion ciblées. L’authentification à deux facteurs, des mots de passe uniques, une moindre réutilisation du même nom d’utilisateur et l’habitude de vérifier les messages suspects concernant des transactions par les canaux officiels limitent les conséquences de ce type de fuite.

Si votre adresse e-mail figure dans cette fiche, n’en concluez pas que les données de votre carte de paiement ou votre mot de passe ont été divulgués : ces champs ne font pas partie du périmètre vérifié. En revanche, votre adresse e-mail, votre nom d’utilisateur et des éléments de contexte de vos achats peuvent être présents dans un jeu de données. Cette combinaison peut être utilisée dans de faux messages d’assistance, de remboursement, de vérification de commande ou de promotion.

La conduite à adopter consiste à éviter les liens suspects, à vérifier directement vos comptes E-Pal et les comptes sociaux ou de jeux associés, à revoir les paramètres de confidentialité des comptes sur lesquels vous utilisez le même nom d’utilisateur et à activer l’authentification à deux facteurs sur vos comptes importants. La violation de données chez E-Pal montre que même des enregistrements sans mots de passe peuvent, lorsqu’ils sont associés au contexte de l’historique d’achats, créer des risques d’ingénierie sociale et d’atteinte à la confidentialité des profils.