Fuite de données d’Elecnor Group (2023)

La vérification a pris en compte le nom Elecnor Group, le domaine elecnor.com, la période de novembre 2023, le volume de plus de 1,8 million d’enregistrements et la présence, dans le même incident, de champs relevant des coordonnées et du service client. Elecnor étant associé aux services dans les domaines de l’énergie, des infrastructures et des projets, ce signalement est important non seulement pour les risques encourus par les utilisateurs individuels, mais aussi pour ceux liés aux contacts professionnels et à la chaîne d’approvisionnement. Les types de données ont été limités aux champs étayés par les éléments disponibles. Les allégations non vérifiées concernant l’accès aux comptes ou des informations financières n’ont pas été incluses dans la description.

La fuite de données d’Elecnor Group expose les utilisateurs et les organisations à des risques d’hameçonnage ciblé, de fausses offres, de fraudes liées aux documents de projet, de détournement de factures et d’escroqueries au service client. En combinant les noms, les adresses e-mail, les numéros de téléphone et les adresses, des attaquants peuvent élaborer des messages qui semblent provenir d’un véritable client, fournisseur ou intervenant d’un projet. Les rubriques de service de type police ou tarif permettent plus facilement de présenter un message comme étant lié à un contrat, à un projet ou à un compte client précis. Cet incident ne doit donc pas être considéré comme la simple divulgation d’une liste de contacts.

Cet incident présente un risque élevé, car les catégories de données visibles s’inscrivent dans le contexte des activités d’une entreprise. Les numéros de téléphone et les adresses e-mail permettent de cibler les personnes par plusieurs canaux de communication. Les adresses physiques peuvent servir à construire de faux scénarios de logistique, de maintenance, de visite sur site ou de livraison de documents dans le contexte d’une entreprise ou d’un établissement. Le champ du nom d’utilisateur peut faciliter la déduction d’informations d’identification utilisables pour se connecter à un portail ou à un système client. Les informations sur le genre ne sont pas critiques à elles seules, mais elles augmentent le risque de profilage lorsqu’elles sont combinées à d’autres champs personnels.

Les personnes disposant de comptes, de dossiers client ou de contacts professionnels associés à Elecnor Group devraient vérifier directement, par les canaux officiels connus, tout message inattendu concernant un contrat, un tarif, un document de projet, une facture, une mise à jour d’adresse ou une vérification de compte. Il convient d’utiliser l’authentification multifacteur sur les comptes de messagerie et de maintenir des pratiques garantissant des mots de passe uniques pour les comptes professionnels et personnels. Les codes à usage unique et les informations sur les systèmes internes ne devraient pas être communiqués en réponse à des demandes reçues par téléphone concernant une redirection de paiement, un téléchargement de document, une approbation de devis ou une vérification de compte. Même les messages contenant des informations client authentiques nécessitent une vérification indépendante.

Pour les organisations, la fuite de données d’Elecnor Group souligne la nécessité de contrôles supplémentaires dans les processus de communication avec les fournisseurs et les clients. Les activités liées aux projets, à l’énergie, aux infrastructures et à la maintenance impliquent un grand nombre d’intervenants externes. Des attaquants pourraient donc exploiter des informations de communication compromises pour de faux achats, de fausses factures, des mises à jour de contrats ou des demandes d’accès aux sites. Les équipes chargées des finances, des achats, de la gestion de projets et du support devraient mettre en place une vérification par deux canaux pour les opérations par e-mail impliquant des modifications de compte, des redirections de paiement ou des demandes de documents. Les représentants du service client ne devraient pas approuver d’opérations sur la seule base d’un nom, d’un numéro de téléphone ou d’une adresse.

Le périmètre du signalement de la fuite de données d’Elecnor Group a été limité aux champs étayés par les éléments disponibles. Le volume retenu est de 1 835 431 entrées. Il n’a pas été affirmé que tous les enregistrements comportaient les mêmes champs, ni qu’ils contenaient des mots de passe, des données de carte, des données bancaires ou des données de pièces d’identité officielles. Les champs client de type police ou tarif ont été inclus dans la description de la divulgation afin de comprendre le contexte des services aux entreprises, sans toutefois élargir le périmètre aux données de transactions financières. Néanmoins, la combinaison des adresses e-mail, des numéros de téléphone, des adresses et du contexte de service client présente un risque important d’ingénierie sociale visant les entreprises.

Le niveau de risque global a été évalué comme élevé, car la fuite de données d’Elecnor Group associe un volume important de données de communication d’entreprise à un contexte de projets et de services. Pour les utilisateurs qui recherchent des informations sur cette fuite, les mesures les plus pratiques consistent à effectuer les vérifications depuis le domaine officiel, à confirmer les factures et les documents de projet inattendus par un second canal, à activer une vérification supplémentaire sur le compte de messagerie, à éviter de réutiliser le même mot de passe et à ne pas faire confiance aux demandes urgentes accompagnées d’informations personnelles ou professionnelles. Ce signalement a été préparé pour présenter le risque opérationnel réel sans inclure de types de données non étayés.