Fuite de données chez Elanic

Dans ce cas, le rapprochement de l’adresse e-mail, du nom d’utilisateur et des informations de localisation géographique permet de dresser un portrait significatif du profil de l’utilisateur. L’adresse e-mail offre un moyen direct de contacter la personne; le nom d’utilisateur peut correspondre aux pseudonymes qu’elle utilise sur différents comptes liés à la mode, aux achats, aux réseaux sociaux ou aux communautés en ligne. Les informations de localisation géographique peuvent, quant à elles, permettre à un attaquant de s’appuyer sur le contexte d’une ville, d’une région ou d’un marché pour rendre son message plus convaincant.

Aucune fuite de mots de passe n’ayant été vérifiée, cette fiche ne doit pas être présentée d’emblée comme un cas d’usurpation d’identité. Néanmoins, l’association d’une adresse e-mail et d’un nom d’utilisateur constitue un point de départ suffisant pour des tentatives d’hameçonnage et des escroqueries à la récupération de compte. Dans le contexte d’une plateforme de vente de vêtements, de faux messages concernant une commande, un retour, une livraison, une mise à jour de compte, un coupon ou une vérification de vendeur peuvent paraître plus convaincants. L’ajout de formulations faisant référence à la localisation réelle de l’utilisateur peut renforcer la crédibilité apparente du message.

Pour Elanic, le périmètre confirmé est de 2 325 283 adresses e-mail uniques. Le nombre total de lignes étant estimé à environ 2,8 millions selon les informations rapportées, il ne doit pas être confondu avec le nombre d’utilisateurs distincts concernés. Cette fiche doit être comprise dans le contexte de l’exposition de données d’un ancien serveur de test ou de leur obtention par des personnes non autorisées. L’incident a été rendu public en janvier 2020; toutefois, l’ancienneté des données renvoie à la période 2016-2018.

Les catégories de données vérifiées sont les adresses e-mail, les localisations géographiques et les noms d’utilisateur. Les numéros de téléphone, les liens vers des réseaux sociaux, les cartes de paiement, les mots de passe, les adresses postales, les messages privés et les documents d’identité ne doivent pas être présentés comme des champs vérifiés dans cette fiche. Certaines analyses secondaires peuvent faire état d’un éventail plus large de champs; toutefois, les principales catégories de données doivent rester limitées dans cette fiche destinée aux utilisateurs. Cela permet de décrire le risque avec précision, sans induire l’utilisateur en erreur par des affirmations non vérifiées concernant des données personnelles.

Les utilisateurs les plus exposés sont ceux qui effectuent des achats sur Elanic, y vendent des produits ou ont associé des informations de localisation à leur profil. Ils peuvent être ciblés par des messages provenant de faux acheteurs ou de faux vendeurs, ou concernant de prétendues demandes de retour, mises à jour de livraison ou vérifications de compte. Lorsque l’adresse e-mail et le nom d’utilisateur figurent ensemble, un attaquant peut chercher à savoir si la personne utilise le même nom d’utilisateur sur d’autres plateformes de vente ou sur des réseaux sociaux.

Le contexte géographique est important pour les utilisateurs qui disposent d’un compte consacré aux achats de vêtements de style ancien et d’occasion sur le marché indien. Les messages contenant des expressions régionales, des noms de villes ou des formulations propres aux services de livraison locaux peuvent paraître plus convaincants. Pour les utilisateurs inscrits avec une adresse e-mail professionnelle, le risque peut prendre la forme de messages ciblés qui passent du contexte d’un compte d’achat personnel à celui d’un compte professionnel. Il convient donc de vérifier non seulement votre compte Elanic, mais aussi les autres comptes créés avec la même adresse e-mail et le même nom d’utilisateur.

Si votre adresse e-mail figure dans la fiche Elanic, la première étape consiste à vous montrer prudent face aux messages reçus à cette adresse concernant la plateforme de vente de vêtements, les livraisons, les retours, les coupons et la vérification de compte. Plutôt que de cliquer sur un lien dans le message, il est plus sûr de vérifier la situation en saisissant vous-même l’adresse du compte concerné dans votre navigateur. Même si aucune fuite de mots de passe n’est confirmée pour cette fiche, il est conseillé de modifier les mots de passe de vos comptes importants si les anciens mots de passe utilisés durant la même période sont faibles ou réutilisés.

Dans votre compte de messagerie, recherchez les connexions inconnues et vérifiez les règles de transfert ainsi que les adresses de récupération. Si vous avez utilisé le même nom d’utilisateur sur d’autres plateformes de vente, réseaux sociaux ou forums, vérifiez les paramètres de confidentialité et de sécurité de ces comptes. Activez l’authentification à deux facteurs sur les services qui proposent cette protection. Pour limiter l’utilisation abusive de vos informations de localisation, ne publiez pas de détails inutiles sur votre ville, votre quartier ou votre zone de livraison dans vos profils publics.

L’incident Elanic montre que les environnements de test et ceux qui contiennent d’anciennes données doivent être protégés avec autant de soin que les données de production. Les organisations ne devraient pas conserver de données réelles d’utilisateurs sur des serveurs de test et, si cela s’avère nécessaire, devraient appliquer des mesures de masquage et des restrictions d’accès. Le fait que les anciennes données soient séparées du système actuel ne signifie pas que le risque pour l’utilisateur a disparu. Les adresses e-mail, les noms d’utilisateur et les informations de localisation peuvent rester inchangés pendant longtemps et être utilisés dans des messages ciblés, même des années plus tard.

À long terme, les utilisateurs peuvent séparer leurs adresses e-mail selon leur usage, utiliser des noms d’utilisateur uniques pour leurs comptes d’achat et de plateformes de vente, et limiter les informations de profil superflues. De leur côté, les équipes en entreprise devraient réduire l’utilisation des adresses e-mail professionnelles par les salariés pour leurs comptes personnels sur des plateformes de vente. Elles devraient également tenir compte des signalements d’adresses e-mail divulguées dans leurs actions de sensibilisation à l’hameçonnage et leurs politiques d’authentification multifacteur. Cette approche réduit l’impact de l’ingénierie sociale, y compris pour les fuites qui ne contiennent aucun mot de passe.

La présence de votre adresse e-mail dans cette fiche ne signifie pas que votre mot de passe ou votre carte de paiement a été divulgué. Elle indique toutefois que votre adresse e-mail, votre nom d’utilisateur et des informations sur votre localisation ont pu figurer dans un jeu de données. Vous devez donc vous montrer plus prudent face aux fausses notifications d’achat, de livraison, de retour ou de compte reçues dans votre boîte de réception. Si vous n’utilisez plus votre ancien compte Elanic, envisagez de le fermer ou d’en restreindre l’accès.

La bonne démarche consiste à agir sans exagérer le risque, mais sans sous-estimer non plus l’importance des données de profil. Vérifiez la sécurité de votre messagerie et les comptes qui utilisent le même nom d’utilisateur, activez l’authentification à deux facteurs sur vos comptes importants et évitez les liens suspects. La fuite de données d’Elanic montre que des enregistrements sans mots de passe peuvent aussi exposer les utilisateurs à des fraudes ciblées et au rapprochement de leurs profils.