Factual Fuite de données

Les types de données répertoriés dans cette fiche sont les adresses e-mail, les employeurs, les numéros de téléphone et les adresses postales. La présence conjointe d’une adresse e-mail, d’un numéro de téléphone et d’une adresse postale facilite le ciblage d’une entreprise, d’une agence, d’un salarié ou d’un point d’intérêt. Les noms et adresses d’entreprises peuvent servir à élaborer des messages frauduleux usurpant l’identité d’un fournisseur ou portant sur de fausses fiches cartographiques, de faux services publicitaires, de fausses factures ou de fausses mises à jour d’annuaire. Ce jeu de données ne contient ni mots de passe, ni cartes de paiement, ni comptes bancaires, ni profils clients non publics; toutefois, la circulation à grande échelle de coordonnées professionnelles accroît le risque de spam B2B et d’escroqueries commerciales ciblées. Ce risque est plus marqué pour les propriétaires de petites entreprises qui utilisent leur adresse e-mail personnelle, car leurs communications professionnelles et leurs comptes personnels peuvent être liés à la même adresse.

Le principal indicateur vérifié est le nombre de comptes de messagerie uniques : 2 461 696. Le nombre total de lignes est d’environ 8 millions; ce chiffre ne correspond pas au nombre de personnes distinctes et peut inclure des doublons de fiches d’entreprises ou de lieux. Les types de données se limitent aux adresses e-mail, aux noms d’employeurs ou d’entreprises, aux numéros de téléphone et aux adresses postales. La présence de mots de passe, de noms d’utilisateur, de cartes de paiement, de pièces d’identité officielles, de dates de naissance, de fichiers clients non publics ou d’historiques de comptes de consommateurs n’a pas été vérifiée dans ce jeu de données. Bien qu’il soit indiqué que ces données sont des informations publiques sur les entreprises et les points d’intérêt, leur circulation en masse présente un risque. Cette distinction est importante : il ne faut pas considérer ce jeu de données comme totalement inoffensif, mais il ne faut pas non plus le décrire comme si des comptes d’utilisateurs individuels avaient été compromis. Les conséquences concernent davantage les communications professionnelles, la visibilité auprès des courtiers en données et les messages ciblés.

Les principaux groupes à risque sont les propriétaires d’entreprises, les salariés de commerces et d’entreprises locales, les adresses de contact d’agences, les équipes commerciales et d’assistance clientèle, ainsi que les contacts accessibles au public dans les données cartographiques et de localisation. Les propriétaires de petites entreprises qui utilisent leur adresse e-mail personnelle pour enregistrer leur entreprise sont davantage exposés. Les fiches comportant des champs de téléphone et d’adresse peuvent servir à de fausses mises à jour d’annuaire, de fausses inscriptions, de fausses offres publicitaires, de fausses factures ou de faux appels de fournisseurs. Si les informations sur l’emplacement et le téléphone de l’entreprise sont exactes, les attaquants paraissent plus crédibles. Les boîtes de messagerie des équipes commerciales et d’assistance des entreprises peuvent recevoir de grandes quantités de spam. Les canaux de communication professionnels sont davantage touchés que les comptes de consommateurs; toutefois, dans les entreprises d’une seule personne, la distinction entre identité professionnelle et identité personnelle est moins nette, ce qui peut aussi avoir des conséquences sur la vie privée.

Si votre adresse e-mail figure dans ce jeu de données, déterminez d’abord si elle sert d’adresse professionnelle, de contact pour une agence, d’assistance ou d’adresse personnelle. Ne paniquez pas et ne supposez pas qu’un mot de passe a fuité, puisque la présence d’un champ de mot de passe n’a pas été vérifiée; en revanche, si la même adresse e-mail apparaît avec un mot de passe dans d’autres fuites, sécurisez le compte. Avant d’effectuer un paiement à la suite d’une demande inattendue de mise à jour d’un annuaire professionnel, d’une offre publicitaire, d’une vérification cartographique, d’une facture, d’une inscription auprès d’un fournisseur ou d’un message de renouvellement d’abonnement, vérifiez la demande par un canal indépendant. N’accordez pas davantage de confiance à une personne qui vous appelle et connaît le nom et l’adresse de votre entreprise; ces informations peuvent provenir de sources publiques ou de vastes jeux de données. Les petites entreprises devraient soumettre les factures et les demandes d’inscription dans des annuaires à une seconde vérification, plutôt que de se fier à l’approbation d’une seule personne.

Bien que les coordonnées professionnelles soient souvent publiques, leur diffusion en masse sous forme de jeux de données réduit le coût du ciblage. Les entreprises devraient utiliser des adresses e-mail et des numéros de téléphone publics associés à des fonctions, et éviter autant que possible de faire figurer des adresses e-mail personnelles dans leurs fiches professionnelles. Elles devraient vérifier régulièrement les informations publiées dans les annuaires, les cartes, les publicités et les fichiers de fournisseurs. Les boîtes de messagerie des équipes commerciales et d’assistance devraient être protégées par des filtres antispam, des règles de vérification des factures et des procédures de validation des fournisseurs. Du côté des fournisseurs de données, l’encadrement de l’accès en masse aux informations publiques, les limites de téléchargement, les conditions d’utilisation des données par les clients et les dispositifs de surveillance des usages abusifs sont importants. Surveiller régulièrement la façon dont une même adresse e-mail professionnelle apparaît dans différents jeux de données réduit le risque d’escroquerie ciblée.

La vérification proposée par LeakData indique si votre adresse e-mail figure dans ce jeu de données sur les entreprises et les points d’intérêt associé à Factual. Un résultat positif ne signifie pas que votre mot de passe, votre carte de paiement ou l’historique de votre compte personnel ont été exposés; il signifie que les informations vérifiées présentant un risque (adresses e-mail, noms d’entreprises ou d’employeurs, numéros de téléphone et adresses postales) ont circulé en masse. Les mesures à prendre consistent à examiner attentivement les messages de vérification d’entreprise et les factures reçus, à séparer votre adresse e-mail personnelle des fiches professionnelles, à renforcer les filtres contre le spam et le ciblage commercial, et à vérifier régulièrement si la même adresse e-mail apparaît dans d’autres fuites avec des mots de passe ou des données financières. Cette fiche doit surtout être considérée comme une alerte pratique sur le risque d’ingénierie sociale pour les propriétaires de petites entreprises et de services locaux.