Fuite de données chez Eskimi

Lorsqu’on examine ensemble l’adresse e-mail, le nom d’utilisateur, la date de naissance, le genre et la localisation géographique figurant dans l’ancien enregistrement, il devient possible de dresser un portrait significatif du profil de l’utilisateur. Dans le contexte des technologies publicitaires et du ciblage des utilisateurs, ces champs peuvent servir à préparer des messages qui semblent personnalisés. Le champ de localisation géographique ne correspond pas nécessairement aux coordonnées GPS exactes de chaque utilisateur; il peut aussi désigner une région, une ville ou une localisation plus générale. Néanmoins, lorsqu’il est associé à l’adresse e-mail et au nom d’utilisateur, le risque pour la vie privée augmente.

Le champ du mot de passe constitue l’un des risques les plus critiques. Avec un hachage MD5 sans sel, des mots de passe identiques produisent la même valeur de hachage, ce qui permet aux attaquants de tester plus facilement et rapidement des listes de mots de passe courants. La présence d’un hachage ne signifie pas nécessairement que le mot de passe est exposé en clair; toutefois, les mots de passe faibles ou réutilisés sont plus susceptibles d’être retrouvés par cassage du hachage. Si un utilisateur a employé le même mot de passe pour sa messagerie, les réseaux sociaux, des interfaces de gestion publicitaire ou d’autres services, cette fuite peut entraîner des tentatives de prise de contrôle de comptes.

Le périmètre principal vérifié pour cette fiche est de 1 197 620 adresses e-mail uniques. Le jeu de données complet a été signalé comme contenant environ 26 millions d’enregistrements. Ces deux chiffres ne doivent pas être confondus : une personne peut avoir plusieurs profils ou plusieurs lignes d’événements. La date de l’incident est enregistrée au 25 septembre 2020; l’ajout de cette fiche aux systèmes de recherche de fuites de données en 2022 ne signifie pas que la fuite date de 2022.

Les catégories de données vérifiées sont la date de naissance, l’adresse e-mail, le genre, la localisation géographique, le mot de passe et le nom d’utilisateur. Le numéro de téléphone, l’adresse postale, la carte de paiement, le compte bancaire, les véritables nom et prénom ou le budget de campagne publicitaire ne font pas partie des catégories de données vérifiées pour cette fiche. Les données de localisation ne doivent pas non plus être présentées comme précises ou sensibles pour chaque enregistrement. Une description juste doit expliquer à la fois les champs de profil et le risque lié aux mots de passe faiblement hachés, sans dépasser le périmètre établi.

Les utilisateurs les plus exposés au risque sont ceux qui réutilisent le mot de passe de leur compte Eskimi sur d’autres comptes. Si la même combinaison d’adresse e-mail et de mot de passe est utilisée pour un compte de messagerie, les réseaux sociaux, des outils publicitaires ou des comptes professionnels, des attaquants peuvent tenter des connexions automatisées. La date de naissance et les informations sur le genre peuvent servir de contexte supplémentaire pour la récupération de compte ou les messages ciblés.

Les utilisateurs liés aux technologies publicitaires, au marketing et aux comptes d’éditeurs doivent également faire preuve de prudence. La localisation géographique et le nom d’utilisateur peuvent aider à estimer le marché ou la région dans lesquels une personne exerce son activité. Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut s’étendre aux comptes de travail : de fausses alertes provenant d’interfaces de gestion publicitaire, des notifications budgétaires, des avis de suspension de campagne ou des messages de vérification de compte peuvent paraître plus convaincants.

Si votre adresse e-mail apparaît dans un ancien enregistrement, vérifiez d’abord si le mot de passe utilisé pour ce compte a été réutilisé sur d’autres comptes. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, pour votre messagerie, une interface de gestion publicitaire, les réseaux sociaux, des comptes professionnels ou d’autres services, changez-le immédiatement. Vos nouveaux mots de passe doivent être uniques, longs et aléatoires; conservez-les dans un gestionnaire de mots de passe. Réutiliser l’ancien mot de passe en lui apportant de petites modifications n’offre pas une sécurité suffisante.

Activez la vérification en deux étapes sur les comptes qui la prennent en charge. Ne cliquez pas directement sur les liens contenus dans des messages concernant des comptes publicitaires, des budgets de campagne, des notifications de paiement, une suspension de compte ou une vérification de sécurité. Si vous devez consulter votre compte, saisissez manuellement l’adresse du service concerné dans votre navigateur. Vérifiez les sessions inconnues, les règles de transfert et les paramètres de récupération de votre compte de messagerie.

L’incident Eskimi montre que la divulgation conjointe de données de profil et d’informations d’identification des comptes sur les plateformes AdTech crée un risque permanent. Les organisations doivent utiliser des mots de passe uniques, l’authentification multifacteur et des accès fondés sur les rôles pour leurs comptes publicitaires et marketing. Pour le stockage des mots de passe, les méthodes obsolètes telles que le hachage MD5 sans sel ne doivent pas être utilisées; il convient de privilégier des algorithmes de hachage modernes, lents et utilisant un sel. Les champs de profil inutiles doivent également être limités par les politiques de conservation des données.

Pour les utilisateurs, une approche à long terme consiste à gérer les comptes publicitaires et marketing professionnels et personnels avec des adresses e-mail distinctes, sans jamais réutiliser les mots de passe. Les informations de profil telles que la localisation géographique, la date de naissance et le genre ne doivent pas être partagées sans nécessité, car elles sont difficiles à modifier ou relèvent de la vie privée. Les équipes en entreprise doivent mettre en place une authentification forte et des procédures régulières de révision des accès sur les comptes des employés dans les interfaces de gestion publicitaire.

Si votre adresse e-mail apparaît dans cette fiche, cela signifie qu’elle correspond à l’une des 1 197 620 adresses e-mail uniques du jeu de données d’environ 26 millions de lignes. Cela ne signifie pas que votre numéro de téléphone, votre carte de paiement ou votre adresse postale ont été divulgués; ces champs ne font pas partie du périmètre vérifié. En revanche, la combinaison de l’adresse e-mail, du nom d’utilisateur, de la date de naissance, du genre, du contexte de localisation et du hachage MD5 sans sel du mot de passe présente un risque sérieux pour la sécurité des comptes.

La bonne démarche consiste à cesser immédiatement de réutiliser les mots de passe, à activer l’authentification à deux facteurs sur les comptes importants, à vérifier les messages concernant la publicité ou la sécurité des comptes par les canaux officiels et à contrôler votre compte de messagerie. Les fuites de données passées ont montré que la divulgation conjointe de données de profil et de mots de passe faiblement hachés peut entretenir longtemps les risques de prise de contrôle de comptes et d’hameçonnage ciblé.