Fuite de données chez Estante Virtual

Les types de données dont la présence a été confirmée dans cet incident comprennent les noms, les noms d’utilisateur, les adresses e-mail, les adresses postales, les numéros de téléphone, les dates de naissance et les mots de passe. Le stockage des mots de passe sous forme de hachages SHA-1 sans salage accroît le risque : bien que ce type de hachage offre théoriquement une protection, y compris pour les mots de passe robustes, uniques et longs, il peut faciliter les attaques visant à deviner les mots de passe faibles ou réutilisés, ou à retrouver leur correspondance avec un hachage. L’association d’une adresse e-mail et d’un nom d’utilisateur peut aider les attaquants à reconnaître une personne sur différents comptes. Les numéros de téléphone et les adresses postales peuvent, quant à eux, servir à des escroqueries ciblées : fausses notifications de livraison, faux appels du service client, prétextes de renouvellement de paiement ou pièges liés à la vérification d’un compte.

Une date de naissance ne suffit pas, à elle seule, à prouver une identité auprès d’un service financier. Toutefois, lorsqu’elle est associée à une adresse, un numéro de téléphone et une adresse e-mail, le risque devient plus concret. Un attaquant pourrait exploiter cet ensemble pour préparer des messages qui semblent correspondre aux habitudes d’achat d’une personne, tenter de deviner les réponses aux questions de réinitialisation du mot de passe ou essayer de prendre le contrôle de comptes sur d’autres plateformes à l’aide des mêmes informations. Dans le contexte d’une place de marché de livres, les préférences de lecture, les relations entre vendeurs et acheteurs et l’historique des livraisons peuvent également rendre les scénarios d’ingénierie sociale plus convaincants. Vous devez donc examiner la sécurité de votre compte Estante Virtual, mais aussi celle des autres comptes ouverts avec les mêmes coordonnées.

Le nombre vérifié de comptes touchés sur lequel repose cette fiche est de 5 412 603, et la date consignée pour la fuite est le 28 février 2019. Dans certains inventaires de données, le nombre brut de lignes peut être plus élevé; il ne correspond toutefois pas toujours à un nombre de personnes ou de clients distincts. Plusieurs lignes associées au même utilisateur, à un profil de vendeur, à un élément d’adresse, à un champ de compte ou à une donnée récurrente peuvent être comptées comme des enregistrements distincts. Pour la fiche publique, il convient donc de retenir le chiffre vérifié d’environ 5,4 millions de comptes touchés et de ne pas présenter les nombres de lignes plus élevés avancés comme un nombre de victimes distinctes.

L’évaluation des types de données doit rester circonscrite aux champs tels que le nom, le nom d’utilisateur, l’adresse e-mail, l’adresse postale, le numéro de téléphone, la date de naissance et le mot de passe. Dans cette fiche, les catégories de données vérifiées doivent se limiter aux coordonnées personnelles, aux identifiants de compte et aux champs de mot de passe mentionnés ci-dessus. Même si des informations relatives aux mots de passe sont présentes, il ne faut pas supposer qu’elles ont été exposées de la même manière pour tous les utilisateurs, ni que tous les mots de passe étaient en clair; la fiche doit décrire le risque lié aux hachages de mots de passe SHA-1 avec un salage sécurisé. Cette distinction est importante pour vous informer correctement du niveau de risque et éviter de surestimer l’étendue de l’incident.

Les personnes les plus exposées sont celles qui utilisent également le mot de passe de leur compte Estante Virtual sur d’autres services. Si le même mot de passe est réutilisé pour un compte de messagerie, des sites d’achat, des profils sur les réseaux sociaux ou des plateformes liées à des paiements, les attaquants peuvent exploiter les informations obtenues dans des jeux de données antérieurs pour effectuer des tentatives de connexion automatisées. En particulier, si le compte de messagerie est compromis, les liens de réinitialisation de mot de passe peuvent permettre d’affecter un ensemble de comptes bien plus vaste. Le temps écoulé depuis la fuite n’élimine donc pas le risque : si l’ancien mot de passe est encore utilisé ailleurs, le danger persiste.

Les vendeurs, les acheteurs réguliers, les collectionneurs de livres et les utilisateurs qui n’ont pas mis à jour leur adresse postale sur la plateforme depuis longtemps sont également exposés à des risques particuliers. Les profils de vendeurs peuvent recevoir davantage de messages ciblés en raison de leurs échanges commerciaux, des adresses de livraison et de leurs relations avec les clients. Les acheteurs peuvent, quant à eux, être trompés par de fausses notifications de commande, des demandes de retour, des mises à jour de livraison ou des prétextes de réactivation de compte. Si votre numéro de téléphone figure parmi les données, soyez particulièrement vigilant face aux fraudes par SMS et par téléphone; si votre date de naissance y figure, prêtez une attention accrue aux tentatives visant les questions de vérification d’identité. Pour les personnes qui utilisent la même adresse e-mail depuis des années, le risque de profilage augmente lorsque ces données sont recoupées avec d’autres fuites anciennes.

La priorité est de déterminer si le mot de passe utilisé pour votre compte Estante Virtual est encore utilisé ailleurs. Si le même mot de passe, ou un mot de passe similaire, est valable pour un autre compte, définissez un mot de passe unique, long et robuste pour chaque service. Ne limitez pas ce changement à Estante Virtual : il doit aussi concerner les comptes d’achat, de messagerie, de paiement, de réseaux sociaux et de services cloud sur lesquels vous utilisez la même combinaison d’adresse e-mail et de mot de passe. Un gestionnaire de mots de passe facilite le repérage des mots de passe réutilisés et la création de mots de passe robustes.

Activez l’authentification multifacteur sur votre compte de messagerie et vérifiez les sessions récentes ainsi que les activités de réinitialisation du mot de passe. Les numéros de téléphone et les adresses ayant pu être divulgués, examinez avec attention les messages de livraison inattendus, les faux appels du service client, les liens de vérification de compte et les demandes de mise à jour des informations de paiement. N’utilisez pas d’informations personnelles, telles que votre date de naissance ou votre adresse, comme mot de passe, code PIN ou réponse à une question de sécurité. Mettez à jour les options de récupération de vos comptes et supprimez les anciennes adresses e-mail et les anciens numéros de téléphone de récupération que vous n’utilisez plus.

Les fuites de données anciennes dont les effets persistent exigent un changement durable des habitudes en matière de mots de passe. Utiliser un mot de passe unique pour chaque compte, activer l’authentification multifacteur partout où elle est disponible et fermer régulièrement les anciens comptes sont des mesures de protection de base. Plutôt que d’utiliser la même adresse e-mail sur tous les services, vous pouvez privilégier des adresses distinctes ou des solutions de masquage pour vos comptes sensibles. Ainsi, un jeu de données provenant d’une plateforme d’achat ne peut pas être directement rapproché de vos comptes financiers ou de communication personnelle.

Pour les organisations, l’incident d’Estante Virtual souligne l’importance des méthodes de stockage des mots de passe et de la minimisation des données. Les hachages de mots de passe doivent être protégés par des algorithmes modernes, lents et utilisant un salage; les données telles que les adresses, les numéros de téléphone et les dates de naissance doivent être supprimées lorsqu’elles ne sont plus nécessaires; et les données des vendeurs et des acheteurs doivent être protégées par des contrôles d’accès distincts. De votre côté, tenir un inventaire de vos anciens comptes, fermer ceux que vous n’utilisez plus, utiliser des alias d’adresse e-mail et consulter régulièrement les notifications de sécurité réduit le risque de préjudice à long terme.

Si vous avez utilisé Estante Virtual ou si vous avez déjà ouvert un compte sur estantevirtual.com.br, vous devez vérifier, lors du contrôle de l’inscription, si votre adresse e-mail est associée à cet incident. Si une correspondance apparaît, commencez par identifier les autres comptes qui utilisent le même mot de passe, puis attribuez à chacun un mot de passe unique. Réutiliser simplement l’ancien mot de passe en y apportant de légères modifications ne suffit pas : les attaquants peuvent tester automatiquement les variantes courantes d’un mot de passe. Donnez la priorité à votre compte de messagerie, car la récupération des autres comptes passe généralement par e-mail.

Les champs tels que le numéro de téléphone, l’adresse et la date de naissance élargissent également les répercussions de l’incident : ne vous contentez donc pas de changer votre mot de passe. Face à des messages concernant une livraison, une commande de livres, un retour, un paiement, une vérification de compte ou le service client, vérifiez le nom de domaine avant de cliquer sur un lien. Si une personne vous demande des informations par téléphone, raccrochez et effectuez vous-même la démarche en ouvrant le site officiel. Cette fiche vise à traduire le nombre vérifié de comptes touchés et les types de données divulguées lors de la fuite d’Estante Virtual en mesures concrètes pour les utilisateurs. L’objectif est de présenter clairement le risque, sans l’exagérer, en mettant l’accent sur la réutilisation des mots de passe et la possibilité de fraudes ciblées.