EliteFitness: fuite de données de 2015

Lorsque l’on examine ensemble les champs présents dans le fichier EliteFitness, le risque ne tient pas à un seul type de données. Lorsque des adresses e-mail et des données de mot de passe figurent dans un même profil utilisateur, les attaquants peuvent préparer des messages plus personnalisés et plus convaincants. Les identifiants de contact, de compte ou de profil dont la présence dans le fichier est vérifiée augmentent le risque d’ingénierie sociale et de rapprochement entre profils. Les informations contextuelles supplémentaires sur les comptes peuvent aider les fraudeurs à faire passer leurs messages pour des communications légitimes du service.

Les principaux risques mis en évidence dans cet incident sont l’hameçonnage, la prise de contrôle de comptes et les scénarios d’ingénierie sociale. Les attaquants peuvent combiner les champs du fichier pour préparer de fausses alertes concernant un compte, des réinitialisations de mot de passe, des renouvellements d’adhésion, des notifications d’assistance ou des messages de vérification de sécurité. L’utilisation d’informations sur les comptes réellement présentes dans le fichier peut affaiblir les réflexes de sécurité des utilisateurs. Ainsi, même si le fichier ne contient pas de mot de passe, le risque de rapprochement entre profils et de fraude ciblée demeure. Si un champ de mot de passe est présent, le risque augmente encore, car le même mot de passe, ou un mot de passe similaire, peut être essayé sur d’autres services.

Si vous utilisez EliteFitness, la première étape consiste à comparer les champs répertoriés dans cette fiche avec vos propres habitudes d’utilisation des comptes. Si les mêmes informations de compte ou de contact dont la présence est vérifiée ont été utilisées sur d’autres services, vous devez évaluer les messages reçus en tenant compte de l’ensemble de votre identité numérique. Si vous utilisez aussi le même nom d’utilisateur sur des réseaux sociaux ou des comptes de jeux, de forums, de services éducatifs, de voyage ou d’achat, le risque de rapprochement entre profils augmente. Ne cliquez pas directement sur des liens inattendus, vérifiez les opérations concernant vos comptes en passant par le nom de domaine connu du service, adoptez des mots de passe uniques pour les comptes sur lesquels vous réutilisez le même mot de passe et activez l’authentification multifacteur partout où cela est possible. Pour les fichiers contenant des mots de passe, vous devez également revoir vos anciens schémas de création de mots de passe : plutôt que de modifier quelques caractères, privilégiez des mots de passe longs et entièrement uniques.

Pour les organisations, la fiche EliteFitness est importante pour comprendre dans quel contexte les adresses e-mail ou les comptes personnels des employés apparaissent sur des services externes. Si un employé a utilisé son adresse e-mail professionnelle sur de tels services, les attaquants peuvent réutiliser ces informations dans de fausses demandes d’assistance, notifications de facture, vérifications de compte ou communications imitant des échanges internes. Les équipes de sécurité doivent surveiller non seulement les fuites contenant des mots de passe, mais aussi les champs relatifs à l’identité, aux comptes, aux coordonnées et au contexte d’utilisation dont la présence est vérifiée dans la fiche, en tant que risque d’ingénierie sociale.

La fiche relative à la fuite de données d’EliteFitness se limite donc aux éléments étayés, mais elle mérite une attention particulière en raison de ses conséquences possibles pour la sécurité. Pour vous protéger, l’approche la plus appropriée consiste à vérifier les liens reçus par un canal indépendant, à mettre à jour les options de récupération de vos comptes, à contrôler les autres comptes utilisant les mêmes informations et à ne pas approuver dans la précipitation des demandes de vérification ou de paiement inattendues. Cette page a été mise à jour pour que les utilisateurs recherchant des informations sur la fuite de données d’EliteFitness puissent comprendre, sans exagération, le nombre d’enregistrements, les champs de données concernés et les mesures de protection prioritaires.

Cette dernière vérification de la fiche EliteFitness vise à garantir que la liste des champs de données reste cohérente avec la description visible par les utilisateurs. Toute personne effectuant une recherche ne doit voir sur cette page que les types de données étayés. Aucune affirmation supplémentaire portant sur des champs non étayés ne doit être ajoutée dans le seul but de faire paraître le risque plus important. Cette approche aide à la fois les utilisateurs à choisir les mesures de sécurité adaptées et les organisations à déterminer quelles données de leurs employés peuvent réellement être à risque. Les catégories de données actuellement couvertes se limitent aux champs suivants : Adresses e-mail, Mots de passe.