Fuite de données chez EatStreet

Le regroupement des données dans la fiche EatStreet crée des risques à plusieurs niveaux. Lorsqu’une adresse e-mail, un numéro de téléphone, un nom complet et une adresse postale sont associés, un attaquant peut contacter directement l’utilisateur et lui envoyer de faux messages concernant une livraison, une commande, un retour ou une vérification de carte. La date de naissance et le genre apportent des éléments de contexte supplémentaires qui peuvent être exploités dans les procédures de récupération de compte ou les questions d’authentification. Les profils sur les réseaux sociaux peuvent, quant à eux, aider à relier la personne à ses autres comptes en ligne.

Même si le champ du mot de passe contient un hachage bcrypt, le risque subsiste. Bcrypt est un algorithme de hachage moderne et lent, mais les mots de passe faibles ou réutilisés peuvent toujours être ciblés par des attaquants. Les données partielles de carte de crédit ne présentent pas nécessairement un risque financier aussi certain que les informations complètes de carte; toutefois, associées aux derniers chiffres de la carte, à l’adresse de facturation ou au numéro de téléphone, elles peuvent rendre plus crédibles de faux appels bancaires et des fraudes à la vérification de paiement. Du côté des partenaires, le risque lié aux informations de compte bancaire et de routage bancaire doit également être pris en compte.

Le périmètre principal vérifié pour cette fiche est de 6 353 564 comptes. La date de l’incident est enregistrée comme étant le 3 mai 2019; selon les informations rapportées, l’accès non autorisé a été détecté et interrompu le 17 mai 2019. Les catégories de données sont nombreuses, mais il ne faut pas supposer que chaque champ est présent pour chaque utilisateur. Les enregistrements des clients, des restaurants partenaires et des partenaires de livraison peuvent contenir des champs différents. La description ne doit donc pas affirmer que les données de compte bancaire ou les numéros complets de carte de tous les utilisateurs ont été divulgués.

Les principales catégories de données vérifiées dans le cadre de la consultation publique comprennent la date de naissance, l’adresse e-mail, le genre, le nom, les données partielles de carte de crédit, le mot de passe, le numéro de téléphone, l’adresse postale et le profil sur les réseaux sociaux. Les notifications aux partenaires comportent des champs tels que le nom du service de livraison, le nom du partenaire, l’adresse e-mail, le numéro de téléphone et les informations bancaires ou de routage bancaire; ces champs doivent être évalués pour chaque partenaire. Du côté des clients, les données partielles de carte et les éléments de contexte liés à la facturation et à la livraison augmentent le risque d’ingénierie sociale. Cette distinction est importante pour prendre les précautions adaptées sans alarmer inutilement l’utilisateur.

Le groupe le plus exposé est celui des clients qui passent commande sur EatStreet et réutilisent le même mot de passe sur d’autres comptes. L’adresse e-mail, le numéro de téléphone, l’adresse postale et le contexte des commandes permettent à un attaquant de préparer des messages de livraison ou de paiement qui semblent authentiques. Si des données partielles de carte sont également présentes, l’utilisateur peut être plus facilement convaincu lors de faux appels bancaires ou de vérification de carte. Les dates de naissance peuvent faciliter la découverte des réponses à des questions de vérification peu robustes utilisées dans les procédures de récupération de compte.

Les restaurants et les partenaires de livraison sont eux aussi fortement exposés. Les notifications aux partenaires contenant des données financières, comme les numéros de compte bancaire et de routage bancaire, les précautions pour ce groupe ne doivent pas se limiter à la sécurité des mots de passe ou des adresses e-mail. Les paiements des comptes professionnels, les opérations bancaires et les tentatives de transfert d’argent non autorisées doivent être surveillés. Les employés de restaurants ou les propriétaires d’entreprises inscrits avec une adresse e-mail professionnelle peuvent être ciblés par de fausses factures, de faux avis de mise à jour des paiements et de faux messages du service d’assistance de la plateforme.

Si le mot de passe du compte EatStreet a été réutilisé sur un autre compte, il doit être changé immédiatement. Bien que le hachage Bcrypt constitue une bonne protection technique, il ne rend pas sûrs les mots de passe réutilisés. Des mots de passe uniques doivent être utilisés pour les comptes de messagerie, de réseaux sociaux, de livraison de repas, d’achat et ceux liés aux paiements, et l’authentification à deux facteurs doit être activée. Il faut également éviter les mots de passe construits à partir d’une base identique ou similaire; les attaquants peuvent essayer des variantes à partir d’indices issus de mots de passe divulgués.

Les clients doivent surveiller attentivement les opérations effectuées avec leur carte, les messages de livraison suspects et les demandes de vérification de compte. Il est utile d’activer les alertes de transactions suspectes proposées par l’émetteur de votre carte. Les adresses postales et les numéros de téléphone ayant pu être divulgués, il convient de prêter attention non seulement aux e-mails, mais aussi aux SMS et aux appels. Les restaurants et les partenaires de livraison doivent vérifier les opérations sur leurs comptes bancaires, rechercher d’éventuelles modifications inattendues des instructions de paiement et examiner la liste des utilisateurs autorisés sur les comptes professionnels.

L’incident EatStreet montre que les données des clients et les données financières des partenaires doivent être protégées dans un même cadre de sécurité au sein des écosystèmes de commande et de livraison de repas. Les organisations doivent surveiller de près les accès aux bases de données, ne pas conserver de champs inutiles, supprimer régulièrement les anciens enregistrements et, lorsque cela est possible, limiter les données de carte à des jetons ou aux derniers chiffres. Des méthodes robustes comme bcrypt doivent être utilisées pour le stockage des mots de passe, tout en mettant en place une politique de mots de passe exigeante et une authentification multifacteur.

Du côté des utilisateurs, une approche à long terme consiste à séparer les comptes de commande de repas, d’achat et de paiement en utilisant des mots de passe uniques, et à ne pas partager inutilement les informations de profil. Les données comme l’adresse postale, le numéro de téléphone et la date de naissance sont difficiles à modifier; une fois divulguées, elles peuvent donc être utilisées longtemps dans des fraudes ciblées. Les entreprises et les partenaires doivent renforcer les processus de contrôle des accès fondé sur les rôles, d’approbation des transactions et de surveillance des mouvements bancaires sur les plateformes contenant des informations de compte financier.

Si votre adresse e-mail figure dans cette fiche, vérifiez non seulement votre compte EatStreet, mais aussi tous les comptes utilisant le même mot de passe. Méfiez-vous des messages suspects concernant des commandes de repas, des livraisons, des retours ou des vérifications bancaires ou de carte. Les données partielles de carte de crédit et les adresses postales peuvent rendre convaincants de faux échanges avec un service client. Si vous constatez une opération inconnue sur votre carte, contactez directement l’émetteur de votre carte et ne cliquez pas sur les liens du message.

Si vous êtes un restaurant ou un partenaire de livraison, examinez également les opérations de vos comptes financiers et vos paramètres de paiement. Les notifications contenant des informations de compte bancaire ou de routage bancaire concernent les partenaires; il est donc important de vérifier qu’aucune modification non autorisée n’a été apportée aux comptes professionnels. La violation de données d’EatStreet montre que l’association de données de profil client, de données financières partielles et de hachages de mots de passe peut entraîner des risques durables d’ingénierie sociale et pour la sécurité des comptes.