Evite Fuite de données

Les catégories de données vérifiées dans le jeu de données Evite sont les dates de naissance, les adresses e-mail, les informations sur le genre, les prénoms et noms, les mots de passe, les numéros de téléphone et les adresses postales. Les adresses e-mail peuvent servir à des opérations d’hameçonnage ciblé, à des pièges liés à la réinitialisation des mots de passe et au rapprochement de comptes. Les prénoms, noms et numéros de téléphone permettent de personnaliser de faux messages de service client, de livraison ou de notification d’événement. Les adresses postales et les dates de naissance augmentent le risque que des réponses aux questions d’authentification soient devinées, que des profils soient enrichis et que des techniques d’ingénierie sociale soient utilisées.

L’exposition des mots de passe en clair est l’aspect le plus critique de l’incident. Un mot de passe en clair permet à un attaquant de le tester sur d’autres services sans avoir à le casser au préalable. Si le même mot de passe est réutilisé pour des comptes de messagerie, des réseaux sociaux, des achats en ligne, des comptes professionnels ou du stockage cloud, le risque ne se limite pas au compte Evite.

La date de la fuite Evite doit être considérée comme étant le 11 août 2013, la date d’ajout de la fiche comme étant le 14 juillet 2019 et le nombre de comptes touchés comme étant de 100 985 047. L’incident est lié à un accès non autorisé à une base de données d’archives contenant des données de 2013 et des années précédentes. Ainsi, bien que l’incident ait été rendu public en 2019, les données des utilisateurs sont plus anciennes.

Il ne faut pas aller au-delà des catégories de données vérifiées. Pour Evite, le périmètre étayé se limite aux champs suivants : date de naissance, adresse e-mail, genre, prénom et nom, mot de passe, numéro de téléphone et adresse postale. Les champs qui ne relèvent pas de ces sept catégories ne doivent pas être présentés comme des données dont la divulgation est certaine. La présence du champ de mot de passe est vérifiée; les détails qui sortent de ce périmètre ne doivent pas être ajoutés à l’analyse des risques comme des informations certaines.

Les personnes qui possèdent un compte Evite, celles qui ont reçu une invitation par le passé, celles qui utilisent la même adresse e-mail depuis de nombreuses années et les titulaires de comptes qui réutilisent le même mot de passe sur plusieurs services sont plus exposés. Le fait que les données proviennent d’archives anciennes ne signifie pas que le risque a disparu : les mots de passe réutilisés peuvent être testés sur différents sites, même des années plus tard.

Les utilisateurs concernés par l’exposition de numéros de téléphone et d’adresses doivent redoubler de vigilance face aux faux messages concernant une livraison, un événement, un don, une invitation ou une assistance. Des champs tels que la date de naissance et le genre peuvent rendre un profil plus réaliste et donner ainsi une apparence de fiabilité aux messages frauduleux. Pour les personnes qui utilisent une adresse e-mail professionnelle, le risque peut aussi concerner des messages prenant la forme de fausses invitations à des réunions ou de prises de contact professionnelles.

Les utilisateurs pour lesquels une correspondance a été trouvée dans les données Evite doivent changer leur mot de passe sur tous les comptes où ils utilisent le même mot de passe ou un mot de passe similaire. Les comptes de messagerie, les services bancaires et de paiement, les réseaux sociaux, les sites marchands, le stockage cloud et les comptes professionnels doivent être traités en priorité. Les nouveaux mots de passe doivent être uniques et longs; ils doivent, si possible, être conservés dans un gestionnaire de mots de passe.

Il faut activer l’authentification à deux facteurs sur tous les comptes importants qui la prennent en charge, vérifier les sessions récentes et les appareils connectés, puis fermer les sessions non reconnues. Les appels, livraisons, factures, invitations, événements ou messages d’assistance inattendus qui s’accompagnent d’informations sur le numéro de téléphone, l’adresse et la date de naissance doivent être vérifiés par un autre canal. Le risque persiste tant que le changement de mot de passe ne couvre pas tous les comptes sur lesquels l’ancien mot de passe a été réutilisé.

À long terme, l’utilisation d’un mot de passe unique pour chaque compte, d’un gestionnaire de mots de passe et de la validation en deux étapes constitue une protection de base. Même si d’anciens comptes de services d’invitation ou d’organisation d’activités sociales ont été oubliés, les mots de passe qui y étaient utilisés peuvent constituer une liste exploitable par des attaquants s’ils ont été réutilisés sur d’autres services. Les utilisateurs doivent passer en revue leurs anciens comptes, fermer ceux qui ne sont plus nécessaires et tenir à jour les informations de récupération de leurs comptes essentiels.

L’exposition des coordonnées personnelles et des adresses doit être surveillée non seulement sous l’angle de la sécurité technique des comptes, mais aussi sous celui de l’ingénierie sociale. Les utilisateurs doivent vérifier l’expéditeur avant d’ouvrir les liens contenus dans des messages portant sur des invitations, des événements, des dons, des livraisons ou des réservations. Les organisations doivent également informer leurs employés que des messages convaincants peuvent être créés à partir d’informations personnelles issues de fuites de données antérieures.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans le jeu de données Evite. Un résultat positif signifie que l’adresse e-mail est présente dans ce jeu de données et que les champs de données vérifiés pour l’utilisateur concerné doivent être pris en compte dans l’évaluation des risques. Ce résultat ne prouve pas que tous les champs sont intégralement disponibles pour chaque utilisateur; il constitue toutefois un avertissement suffisant pour prendre des mesures de protection, compte tenu des risques liés aux mots de passe et aux données d’identité.

Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données; il n’exclut pas la possibilité de figurer dans d’autres fuites de données. Les utilisateurs qui obtiennent un résultat positif doivent réinitialiser leur mot de passe, activer l’authentification à deux facteurs, examiner leurs anciennes sessions et faire preuve d’une vigilance accrue face aux messages d’hameçonnage ciblé envoyés en exploitant leur numéro de téléphone ou les informations relatives à leur adresse.