Fuite de données chez Famm

Les types de données répertoriés dans cette fiche sont les champs Dates de naissance, Adresses e-mail, Genre, Noms et Mots de passe. Lorsqu’une adresse e-mail, un nom et une date de naissance sont réunis, les attaquants peuvent créer des alertes concernant un compte ou des notifications de services familiaux qui semblent personnalisées. Le genre et la date de naissance peuvent servir à rapprocher des informations pour identifier une personne et à rendre les messages ciblés plus convaincants. Le champ de mot de passe contient un hachage SHA-256, et non un mot de passe en clair, mais les mots de passe faibles ou correspondant à ceux d’autres fuites peuvent être retrouvés par cassage. Cette fiche ne doit pas être présentée comme recensant une fuite de numéros de téléphone, d’adresses postales, de données de cartes de paiement ou de photos. Toutefois, le contexte d’un service de photos familiales peut amener les utilisateurs à faire davantage confiance à de faux messages de partage d’album, de récupération de compte ou de renouvellement d’abonnement.

Le principal chiffre vérifié est de 535 240 comptes associés à des adresses e-mail uniques. Le nombre total d’enregistrements clients peut être plus élevé; ce nombre ne correspond pas au nombre d’adresses e-mail uniques. Les catégories de données se limitent à la date de naissance, à l’adresse e-mail, au genre, au nom et aux hachages de mots de passe. Les photos, le contenu des albums, les messages privés des membres de la famille, les numéros de téléphone, les adresses postales, les données de cartes de paiement et les informations issues de pièces d’identité officielles ne figurent pas parmi les champs vérifiés de cette fiche. Le fait qu’il s’agisse d’un service japonais de photos familiales accentue l’impact de l’incident sur la vie privée, mais il ne faut pas ajouter d’affirmation non vérifiée concernant la divulgation de contenus multimédias. Préciser que les mots de passe sont hachés avec SHA-256 ne doit pas donner aux utilisateurs un faux sentiment de sécurité; si les mots de passe sont réutilisés, le risque persiste. Cette fiche doit donc rester étiquetée comme contenant des données sensibles, tout en limitant son périmètre aux champs vérifiés.

Les principaux groupes à risque sont les familles ayant ouvert un compte Famm, les parents, les personnes ayant utilisé les services de partage ou d’impression de photos, ainsi que les utilisateurs qui réutilisent le même mot de passe sur d’autres comptes de services familiaux, de photos, de messagerie ou de réseaux sociaux. Les personnes dont la date de naissance et le nom sont connus peuvent être ciblées par de fausses notifications d’anniversaire, de fausses invitations à consulter un album ou de faux messages de récupération de compte. Dans le contexte de services de photos d’enfants ou de familles, les parents et les membres de la famille peuvent réagir plus rapidement à des messages jouant sur les émotions. Le risque augmente si la même adresse e-mail apparaît également dans d’autres fuites touchant des services familiaux, de commerce en ligne ou de réseaux sociaux. Lorsque des mots de passe sont réutilisés, les attaquants peuvent d’abord prendre le contrôle du compte de messagerie, puis tenter d’accéder aux services de photos, de stockage dans le cloud et de réseaux sociaux. Même si la divulgation de photos n’est pas vérifiée, le contexte du service constitue un atout pour l’ingénierie sociale.

Si votre adresse e-mail apparaît dans cette fiche, ne considérez plus le mot de passe utilisé pour votre compte Famm comme sûr. Définissez des mots de passe uniques pour les comptes de messagerie, de stockage dans le cloud, de photos, de réseaux sociaux, d’achats et de partage familial sur lesquels vous utilisez le même mot de passe ou un mot de passe similaire. Activez l’authentification multifacteur sur les services qui la proposent. Avant de cliquer sur un lien dans un message inattendu de partage d’album, de récupération de compte, d’invitation familiale, de renouvellement d’abonnement ou de promotion pour l’impression de photos, accédez directement à votre compte depuis l’adresse web que vous connaissez. N’accordez pas une confiance excessive aux messages qui mentionnent votre date de naissance ou votre nom; ces informations peuvent provenir d’une fuite. Vérifiez les alertes de réinitialisation de mot de passe et les sessions inconnues sur votre compte de messagerie. Si une adresse e-mail est partagée avec des membres de votre famille, la sécurité de leurs comptes doit également être examinée.

Les comptes utilisés pour les services familiaux et de photos suscitent des attentes plus élevées en matière de confidentialité que les comptes ordinaires. Les utilisateurs doivent employer des mots de passe uniques pour les services de photos, de partage familial et de stockage dans le cloud, privilégier un gestionnaire de mots de passe et fermer les anciens comptes inutilisés. Les informations telles que la date de naissance, le nom de famille et les renseignements concernant les enfants ne doivent pas être publiées sur des profils accessibles à tous. Lors du partage d’albums avec des membres de la famille, il convient de vérifier régulièrement qui peut accéder aux liens d’invitation. Du côté de la plateforme, les hachages de mots de passe doivent être protégés par des méthodes robustes et à jour, les anciens formats de hachage doivent être remplacés par des formats plus récents et les procédures de récupération de compte doivent faire l’objet d’une surveillance pour détecter les abus. Les utilisateurs doivent vérifier régulièrement si la même adresse e-mail apparaît dans d’autres fuites touchant des services de photos, des services familiaux, le commerce en ligne ou les réseaux sociaux.

La vérification sur LeakData indique si votre adresse e-mail apparaît dans la fuite de Famm. Un résultat positif ne signifie pas que les catégories de données vérifiées comprennent des photos, des données de cartes de paiement ou des adresses postales; le risque vérifié concerne l’utilisation abusive de la date de naissance, de l’adresse e-mail, du genre, du nom et des hachages de mots de passe SHA-256. Les mesures à prendre consistent à changer les mots de passe réutilisés, à sécuriser en priorité le compte de messagerie, à activer l’authentification multifacteur sur les services familiaux et de photos, et à vérifier l’authenticité des messages concernant des albums ou des abonnements. Si la même adresse e-mail apparaît dans d’autres fuites, le risque augmente; les attaquants peuvent associer le contexte du service familial à des informations provenant d’autres sources, comme un numéro de téléphone, une adresse ou un profil sur les réseaux sociaux, pour créer des messages plus convaincants.