Fuite de données d’Engrenagem Virtual (2020)

L’évaluation menée pour vérifier l’incident a pris en compte le nom Engrenagem Virtual, le domaine engrenagemvirtual.com.br, la date de juillet 2020, un volume de plus de 430 000 enregistrements et la présence d’informations de hachage des mots de passe au format SHA-256 avec salage, aux côtés de champs de profil personnel. Les affirmations plus lourdes de conséquences, comme la présence d’un champ CPF ou d’un champ relatif à l’identité officielle, n’étaient pas étayées de manière cohérente et n’ont donc pas été ajoutées à la fiche. Celle-ci est restée limitée à un incident concernant la sécurité des comptes et les données de profil personnel, sans être élargie à des affirmations non étayées sur des données financières ou des documents officiels.

La fuite de données de Virtual Gear expose les utilisateurs à des risques de prise de contrôle de comptes, d’hameçonnage sur le thème de la formation ou du marketing et d’ingénierie sociale ciblée. En combinant l’adresse e-mail, le nom, le numéro de téléphone, la date de naissance, le genre et la situation matrimoniale, des attaquants peuvent adapter leurs messages à chaque personne, autour de formations, du développement d’activités, d’abonnements, de certifications ou de campagnes. La présence d’un champ contenant le mot de passe haché crée également un risque que des mots de passe réutilisés ou faibles soient testés sur d’autres services. Cet incident ne doit donc pas être considéré comme la simple divulgation d’une liste de contacts.

Dans cet incident, les catégories de données visibles sont importantes pour la protection du profil personnel et la sécurité des comptes. La date de naissance peut être utilisée abusivement lors des vérifications effectuées par un service d’assistance. Le numéro de téléphone facilite le ciblage par SMS et par appels. Les champs de profil, comme la situation matrimoniale et le genre, peuvent servir à personnaliser les messages. Le hachage des mots de passe au format SHA-256 avec salage n’élimine pas complètement le risque de découverte par essais hors ligne lorsque les mots de passe sont faibles ou réutilisés.

Les personnes qui possèdent un compte Virtual Gear ou utilisent la même adresse e-mail devraient réinitialiser leur mot de passe sur le compte concerné, ainsi que sur les autres comptes où ce mot de passe est réutilisé. Les comptes de messagerie, de plateformes de formation, de réseaux sociaux, d’achats, de paiement et les comptes professionnels devraient être vérifiés en priorité. Il convient d’activer l’authentification multifacteur partout où cela est possible, de fermer les anciennes sessions et d’examiner les alertes de connexion inattendues. Les liens relatifs à des certificats, des cours, des abonnements ou des campagnes devraient être vérifiés directement via les canaux officiels connus.

Pour les organisations, la fuite de données d’Engrenagem Virtual montre que les plateformes de formation et de marketing numérique doivent protéger conjointement les données de profil et les mots de passe. Les équipes d’assistance ne devraient pas modifier un compte sur la seule base d’un nom, d’un numéro de téléphone ou d’une date de naissance. Une vérification supplémentaire est nécessaire pour les opérations telles que le changement d’adresse e-mail, la récupération d’un compte, la mise à jour d’un abonnement ou l’accès aux certificats. Les organisations devraient expliquer clairement aux utilisateurs comment repérer les fausses invitations à des formations ou les faux messages de campagne, et les encourager à ne plus utiliser leurs anciens mots de passe.

Dans la fiche consacrée à la fuite de données de Virtual Gear, le périmètre a été limité aux champs étayés. Le volume retenu est de 430 936 entrées; aucune affirmation concernant la présence de pièces d’identité officielles, de cartes de paiement ou de comptes bancaires n’a été ajoutée. Les catégories de données se limitent aux adresses e-mail, aux noms, aux numéros de téléphone, aux dates de naissance, aux champs de profil et aux informations de hachage des mots de passe. Néanmoins, la combinaison des données de profil personnel et des champs de hachage des mots de passe présente un risque critique pour la sécurité des comptes. Si le même mot de passe est utilisé sur d’autres comptes, les conséquences peuvent dépasser la plateforme concernée.

Le niveau de risque global a été évalué comme critique, car la fuite de données d’Engrenagem Virtual associe des champs de profil personnel aux risques liés aux numéros de téléphone et aux mots de passe hachés. Pour les utilisateurs qui recherchent des informations sur cette fuite, les mesures les plus concrètes consistent à réinitialiser leurs mots de passe, à éviter de réutiliser le même mot de passe, à activer une vérification supplémentaire sur leur messagerie et leurs comptes importants, à vérifier de manière indépendante les liens de formation ou de campagne, et à ne pas se fier aux messages simplement parce qu’ils contiennent des informations personnelles exactes. Cette fiche a été préparée pour expliquer les conséquences réelles sur la sécurité des comptes, sans ajouter de types de données non étayés.