Fuite de données Eye4Fraud de 2023

Le jeu de données vérifié contenait des adresses e-mail, des adresses IP, des noms, des données partielles de cartes de crédit, des mots de passe, des numéros de téléphone et des adresses postales. Les 16 000 591 adresses e-mail uniques correspondent aux adresses dédupliquées provenant de 147 tables contenant un nombre bien plus élevé de lignes; ce chiffre ne permet pas de conclure qu’il s’agit d’autant de personnes distinctes, ni que chaque type de données était présent pour chaque personne. Le jeu de données couvrait deux groupes principaux : les utilisateurs directs du service Eye4Fraud et les personnes ayant passé commande auprès d’autres commerçants en ligne qui utilisaient Eye4Fraud. Les enregistrements des comptes des utilisateurs directs du service comprenaient des noms et des hachages bcrypt de mots de passe, tandis que les tables de commandes contenaient des noms, des numéros de téléphone, des adresses postales et des informations partielles sur les cartes bancaires. Les données partielles de cartes bancaires désignent le type de carte et ses quatre derniers chiffres; les numéros complets de carte et les codes de sécurité ne font pas partie des catégories de données dont l’exposition est confirmée.

Eye4Fraud a officiellement confirmé qu’un fichier de sauvegarde relatif à certains clients et contenant des informations limitées avait fait l’objet d’un accès non autorisé en janvier 2023. L’entreprise a déclaré avoir fait appel à des spécialistes de la cybersécurité et à des conseillers externes, avoir informé les forces de l’ordre et avoir coopéré à l’enquête. En février 2023, environ 65 GB de données présentées comme provenant d’Eye4Fraud ont été mises en vente sur un forum criminel. Les données publiées représentaient des dizaines de millions de lignes réparties dans 147 tables, et leur vérification a permis d’identifier 16 000 591 adresses e-mail uniques. Les hachages bcrypt de mots de passe étaient associés uniquement aux utilisateurs directs du service ; les éléments disponibles ne montrent pas que les mots de passe des comptes de commerce en ligne des acheteurs ont été collectés. La méthode technique utilisée pour obtenir cet accès n’ayant pas été divulguée, une faille logicielle, un hameçonnage ou un accès interne ne doivent pas être présentés comme une cause établie.

Pour les utilisateurs ayant un compte directement auprès d’Eye4Fraud, le principal risque est qu’un mot de passe faible ou réutilisé ailleurs puisse être retrouvé à partir de son hachage bcrypt. Les personnes ayant passé commande auprès de commerçants utilisant Eye4Fraud peuvent figurer dans ces données même si elles n’ont jamais créé de compte Eye4Fraud, car les données utilisées pour contrôler les transactions transitaient par le service. La combinaison d’un nom, d’un numéro de téléphone, d’une adresse postale, d’une adresse e-mail, d’une adresse IP et des quatre derniers chiffres d’une carte peut servir à rendre crédibles des escroqueries liées aux livraisons, aux annulations de commandes, aux remboursements, à la vérification de paiements ou à de faux appels bancaires. Les quatre derniers chiffres ne suffisent pas, à eux seuls, pour effectuer un paiement par carte, mais des informations sur une transaction réelle peuvent renforcer l’ingénierie sociale. Une correspondance avec une adresse e-mail ne prouve pas qu’un numéro complet de carte a été exposé, qu’un mot de passe a été retrouvé ou que toutes les catégories de données répertoriées concernaient la même personne.

Si vous aviez un compte Eye4Fraud, remplacez son mot de passe par un mot de passe long et unique, puis modifiez celui de tout autre compte utilisant un mot de passe identique ou similaire. Donnez la priorité à votre boîte e-mail principale, aux interfaces d’administration des boutiques en ligne, aux services de paiement et aux comptes financiers. Remplacez tous les mots de passe réutilisés et activez l’authentification multifacteur ; ajouter un chiffre à un ancien mot de passe ne suffit pas à le rendre suffisamment différent. Vérifiez les sessions actives de votre messagerie, les adresses de récupération, les règles de transfert et les appareils que vous ne reconnaissez pas. Si vous avez effectué des achats auprès d’un commerçant utilisant Eye4Fraud, examinez les opérations effectuées avec votre carte et les alertes de transaction, puis signalez tout débit inconnu à votre banque par son canal habituel. Ne suivez pas les liens contenus dans des messages concernant des livraisons, des remboursements, des commandes ou la vérification d’une carte; ouvrez vous-même l’application du commerçant ou de la banque. Même si une personne qui vous appelle connaît les quatre derniers chiffres de votre carte, ne communiquez jamais de code à usage unique, de numéro complet de carte ni de code de sécurité.

Utilisez un gestionnaire de mots de passe pour créer un mot de passe aléatoire et unique pour chaque compte, afin que la récupération d’un mot de passe à partir de son hachage ne compromette pas d’autres services. Privilégiez les clés d’accès ou une authentification multifacteur résistante à l’hameçonnage pour la messagerie, les services financiers et l’administration des boutiques en ligne. Activez les alertes bancaires et celles de vos cartes, et envisagez d’utiliser des cartes virtuelles ou à usage limité pour vos achats en ligne lorsque cette possibilité existe. Les entreprises de commerce en ligne devraient réduire au minimum les données transmises aux prestataires de prévention de la fraude, faire respecter les durées de conservation et éviter de laisser les sauvegardes dans le même périmètre d’accès que les systèmes de production. L’administration selon le principe du moindre privilège, le chiffrement des sauvegardes, la surveillance des journaux d’accès et les plans de notification d’incident testés lors d’exercices réduisent l’impact d’un accès non autorisé. Ne considérez pas la connaissance de détails authentiques d’une commande comme une preuve de la légitimité d’un message ou d’un appelant.

Utilisez le champ de recherche sécurisé de cette page pour vérifier toutes vos adresses e-mail actuelles et anciennes susceptibles d’avoir figuré dans un compte Eye4Fraud ou dans une commande contrôlée par le service. Une correspondance signifie que l’adresse figure parmi les 16 000 591 adresses e-mail uniques vérifiées; elle ne permet pas d’identifier la table d’origine, ne prouve pas qu’un hachage de mot de passe ou des données partielles de carte figuraient sur cette ligne, et ne montre pas que des informations complètes de carte ont fuité. Si vous obtenez un résultat, déterminez si vous étiez un utilisateur direct du service ou auprès de quels commerçants vous avez effectué des achats, puis adaptez vos priorités de vérification des mots de passe, de la messagerie et des paiements. Cessez de réutiliser d’anciens mots de passe, vérifiez les sessions de vos comptes et activez les alertes de vos cartes. Ne saisissez jamais de mot de passe, de numéro complet de carte, de code de sécurité, de code à usage unique ni d’adresse postale dans le champ de recherche. L’absence de résultat n’offre aucune garantie absolue : une adresse écrite différemment, une commande absente de ce jeu de données ou une autre fuite peuvent toujours vous concerner. Accédez directement au nom de domaine connu du commerçant ou de l’établissement financier plutôt que d’utiliser les liens de messages suspects.