Fuite de données chez Eatigo

Les adresses e-mail, les numéros de téléphone ainsi que les prénoms et noms présents dans les données Eatigo permettent de contacter plus facilement les utilisateurs directement. Dans le contexte des réservations de restaurants, ces informations rendent plus crédibles des scénarios d’ingénierie sociale reposant sur de fausses confirmations de réservation, des avis d’annulation, des coupons de réduction, des demandes de vérification de compte ou des messages du service client. Lorsque les informations sur le genre et les profils de réseaux sociaux s’y ajoutent, l’attaquant peut envoyer des messages plus personnalisés à la personne ciblée.

Le champ contenant le mot de passe présente l’un des risques les plus importants. Le hachage MD5 non salé est moins robuste que les méthodes modernes de stockage des mots de passe renforcées par une valeur de sel unique. Cela ne signifie pas que tous les mots de passe peuvent être cassés instantanément, mais le risque augmente considérablement avec les listes de mots de passe courants et les mots de passe réutilisés. Associé à un numéro de téléphone, le risque lié au mot de passe peut favoriser non seulement l’hameçonnage par e-mail, mais aussi les escroqueries par appel téléphonique et SMS.

Le périmètre principal vérifié pour cette fiche est de 2 789 609 comptes. Sur le plan technique, l’incident est lié à une ancienne base de données qui n’a pas fait l’objet d’un suivi adéquat dans l’inventaire après une transition de la plateforme et qui est restée accessible depuis Internet. Bien que la mise en vente des données ait été remarquée en 2020, la dernière mise à jour de la base de données et le contexte de l’incident renvoient à 2018. La date de la fuite ne doit donc pas être confondue avec celle à laquelle elle est devenue publique.

Les catégories de données vérifiées sont les adresses e-mail, les genres, les noms, les mots de passe, les numéros de téléphone et les profils de réseaux sociaux. Les données de cartes de paiement ne font pas partie du périmètre vérifié de cet incident; l’entreprise a indiqué dans ses déclarations que les données de cartes de crédit ne sont pas stockées dans le système. Bien que différentes sources fournissent des précisions supplémentaires sur les champs liés aux réseaux sociaux, cette fiche doit conserver la catégorie « profils de réseaux sociaux ». Cela permet de rendre le risque visible sans présenter à l’utilisateur des champs supplémentaires non vérifiés comme des informations certaines.

Les personnes les plus exposées sont celles qui utilisent le mot de passe de leur compte Eatigo sur d’autres services. Si la même combinaison d’adresse e-mail et de mot de passe est utilisée pour des comptes de réseaux sociaux, de messagerie, de livraison de repas, d’achats ou de programmes de fidélité, les risques liés à une ancienne fiche de réservation de restaurant peuvent s’étendre à d’autres comptes. Le numéro de téléphone ainsi que le prénom et le nom peuvent également aider un attaquant à contacter directement l’utilisateur pour engager une fausse procédure de sécurité ou de réservation.

Les utilisateurs qui réservent des restaurants à Singapour, à Hong Kong, en Thaïlande et dans la région peuvent aussi être ciblés par des campagnes locales utilisant le vocabulaire des réservations. Si une personne a associé son compte Eatigo à son profil de réseau social, un attaquant peut recueillir davantage d’éléments de contexte sur ce profil afin de personnaliser son message. Pour les utilisateurs inscrits avec une adresse e-mail professionnelle, le risque peut s’étendre au compte professionnel; des messages envoyés sous prétexte de réservations de restaurants ou d’événements peuvent se transformer en tentatives d’hameçonnage ciblant les employés.

Si votre adresse e-mail figure dans les données Eatigo, la première étape consiste à vous assurer que le mot de passe de votre compte Eatigo n’est utilisé sur aucun autre compte. Si vous avez utilisé le même mot de passe ou un mot de passe similaire, vous devez immédiatement modifier les mots de passe de vos comptes de messagerie, de réseaux sociaux, de livraison de repas, d’achats et des comptes associés à des moyens de paiement. Les nouveaux mots de passe doivent être uniques et conservés dans un gestionnaire de mots de passe. Ajouter simplement un chiffre à la fin de l’ancien mot de passe ne suffit pas.

Faites preuve de prudence face aux SMS et aux appels, car votre numéro de téléphone ainsi que votre prénom et votre nom pourraient également avoir été divulgués. Ne cliquez pas directement sur les liens reçus sous prétexte d’annulation de réservation, de réductions dans des restaurants, de vérification de compte ou de contrôles de sécurité. Si vous devez accéder à votre compte, saisissez vous-même l’adresse dans le navigateur ou utilisez l’application officielle. Activez l’authentification à deux facteurs sur les comptes qui la prennent en charge et vérifiez la présence de sessions inconnues dans votre compte de messagerie.

L’incident Eatigo montre que les anciennes bases de données et les systèmes laissés de côté lors des transitions de plateforme peuvent présenter des risques sérieux. Les organisations doivent tenir leur inventaire de données à jour, désactiver les bases de données inutilisées et isoler les environnements de sauvegarde et les anciens environnements à l’aide de contrôles d’accès. Pour le stockage des mots de passe, les anciennes méthodes comme MD5 non salé ne doivent pas être utilisées; il convient de privilégier des algorithmes de hachage robustes, salés et lents. Les données personnelles ne doivent être conservées que pendant la durée nécessaire, et les anciens enregistrements doivent être régulièrement supprimés.

Pour les utilisateurs, la stratégie à long terme consiste à ne jamais réutiliser les mots de passe, à ne pas communiquer leur numéro de téléphone sur des comptes où cela n’est pas nécessaire et à limiter les associations avec les réseaux sociaux. Si les comptes de restauration, de voyage, d’achats et de livraison sont gérés avec des adresses e-mail distinctes, une fuite sur un service sera plus difficile à relier à d’autres profils. Les organisations doivent également réduire l’utilisation des adresses e-mail professionnelles par les employés sur des services personnels et associer la recherche de mots de passe divulgués à la sensibilisation à l’hameçonnage.

Si votre adresse e-mail figure dans cette fiche, vérifiez non seulement votre compte Eatigo, mais aussi tous les autres comptes que vous utilisiez à la même période avec le même mot de passe ou le même numéro de téléphone. Même si le mot de passe est stocké sous forme d’empreinte, son utilisation ailleurs présente un risque sérieux en raison de la faiblesse de MD5 non salé. L’association du numéro de téléphone et du profil de réseau social peut servir à envoyer de faux messages d’assistance ou à mener des tentatives d’hameçonnage personnalisées.

La bonne démarche consiste à choisir un mot de passe unique, à activer la vérification en deux étapes sur les comptes importants et à ne pas donner suite aux messages suspects concernant des réservations ou la sécurité sans les vérifier. Il faut garder à l’esprit que les données de cartes de paiement ne sont pas vérifiées dans cette fiche; toutefois, la seule combinaison d’une adresse e-mail, d’un numéro de téléphone, d’un nom, d’un profil de réseau social et d’un mot de passe protégé par un hachage faible présente déjà un risque sérieux. Ces mesures réduisent les répercussions de la fuite de données Eatigo sur d’autres comptes et sur la sécurité actuelle de votre identité.