Fuite de données chez Fanpass

Les types de données répertoriés dans cette fiche sont les adresses e-mail, le genre, les noms, les dates de naissance partielles, les mots de passe, les numéros de téléphone, les adresses postales, les achats et les profils sur les réseaux sociaux. Lorsque l’adresse e-mail, le nom, le numéro de téléphone et l’adresse sont réunis, il devient plus facile de contacter directement l’utilisateur et de donner l’impression d’être un véritable client. L’historique des achats permet de déterminer à quel événement ou à quelle transaction de billets l’utilisateur peut être associé, ce qui rend plus convaincants les faux messages de remboursement, de transfert, d’expédition ou de revente. Les informations de profil sur les réseaux sociaux présentent un risque de rapprochement avec l’identité de supporter et la présence publique en ligne. Les hachages de mots de passe ne sont pas des mots de passe en clair; le risque reste toutefois élevé pour les personnes qui utilisent le même mot de passe sur d’autres comptes. Les informations partielles sur la date de naissance peuvent également fournir des éléments de contexte utiles pour la récupération de compte ou les messages d’ingénierie sociale.

Le principal volume vérifié est de 112 251 fiches clients. Les catégories de données se limitent aux coordonnées, à la date de naissance partielle, au profil sur les réseaux sociaux, à l’historique des achats et aux mots de passe hachés avec sel. Le numéro complet de carte de paiement, le code de sécurité de la carte, le compte bancaire, le document d’identité officiel, la date de naissance complète, le code-barres du billet et le contenu des messages privés ne figurent pas parmi les champs vérifiés de cette fiche. L’historique des achats indique qu’il est possible d’établir un lien avec les transactions de billets passées d’un utilisateur; cela ne signifie pas que sa carte de paiement a été exposée. Fanpass étant un service d’achat et de vente de billets de football, les risques concernent surtout les billets contrefaits, les remboursements frauduleux, la prise de contrôle de compte et le rapprochement avec des profils sur les réseaux sociaux. Ces limites doivent être respectées, et il convient d’indiquer clairement à l’utilisateur ce qui est vérifié et ce qui ne l’est pas.

Le principal groupe à risque est constitué des clients qui achètent ou vendent des billets de football, ou créent un compte à cette fin, sur Fanpass. Les utilisateurs dont les numéros de téléphone et les adresses postales sont présents peuvent être ciblés par de fausses demandes liées à une livraison, à un transfert de billet ou à un remboursement. Les personnes dont l’historique des achats est présent peuvent recevoir des messages personnalisés en fonction des matchs, des équipes ou des événements qui les ont intéressées par le passé. Les personnes qui réutilisent le même mot de passe pour leurs comptes de messagerie, de réseaux sociaux, de billetterie, de paiement ou de forums de supporters courent un risque plus élevé. Les utilisateurs disposant de profils sur les réseaux sociaux peuvent être plus facilement identifiés par rapprochement avec des groupes de supporters ou des profils publics. Les matchs très demandés, les billets de derby ou les événements de dernière minute peuvent aider les attaquants à créer un sentiment d’urgence. Les comptes utilisés pour acheter des billets pour de petites entreprises ou dans un cadre professionnel peuvent également être exposés à de faux messages de facturation et de transfert de billets.

Si votre adresse e-mail figure dans cette fiche, ne considérez plus le mot de passe de votre compte Fanpass comme sûr. Définissez un mot de passe unique pour chacun de vos comptes de messagerie, de réseaux sociaux, de billetterie, de paiement et d’achat en ligne sur lesquels vous utilisez le même mot de passe ou un mot de passe similaire. Activez l’authentification multifacteur sur les services qui la proposent. Avant de cliquer sur les liens de messages inattendus concernant un transfert de billet, un remboursement, une revente, une livraison, une vérification de compte ou une modification d’événement, accédez directement à votre compte depuis une adresse web connue. Même si votre interlocuteur au téléphone connaît votre nom, votre adresse ou une précédente transaction de billets, ne communiquez pas vos informations de carte, vos coordonnées bancaires, vos codes à usage unique ni les mots de passe de vos comptes. Vérifiez également les offres de billets reçues sur les réseaux sociaux et contrôlez l’identité du vendeur avant d’effectuer un paiement.

Les comptes de billetterie sont vulnérables à la fraude en raison de la forte demande et de la pression liée à l’urgence. Les utilisateurs devraient choisir un mot de passe unique pour chaque compte de billetterie et de réseau social, privilégier un gestionnaire de mots de passe et fermer leurs anciens comptes. Les paramètres de confidentialité devraient être vérifiés régulièrement sur les services qui conservent un historique des achats et des liens vers des profils sur les réseaux sociaux. Ne pas conserver de numéros de téléphone ni d’adresses postales sur des comptes inutiles réduit le risque à long terme. Du côté de la plateforme, les hachages de mots de passe devraient être protégés par des méthodes robustes et à jour, les durées de conservation des anciens historiques d’achat devraient être maîtrisées, et les messages de transfert de billets et de remboursement devraient comporter des étapes de vérification claires. La sensibilisation des utilisateurs devrait particulièrement insister sur les scénarios de faux billets, de faux remboursements, de faux transferts et de fraude au paiement via les réseaux sociaux.

La vérification proposée par LeakData indique si votre adresse e-mail figure dans la fuite de Fanpass. Un résultat positif n’indique pas la présence de données de carte de paiement, de compte bancaire ou de pièce d’identité officielle parmi les catégories de données vérifiées; le risque vérifié concerne l’utilisation abusive de l’adresse e-mail, du nom, du numéro de téléphone, de l’adresse, de la date de naissance partielle, de l’historique des achats, du profil sur les réseaux sociaux et des mots de passe hachés avec sel. Les mesures à prendre comprennent le changement des mots de passe réutilisés, en donnant la priorité aux comptes de billetterie et de messagerie, la vérification des messages suspects de remboursement et de transfert de billets, ainsi que la réduction du risque de rapprochement avec des profils sur les réseaux sociaux. Si la même adresse e-mail figure dans d’autres fuites liées à la billetterie, au commerce en ligne ou aux réseaux sociaux, le risque augmente; les attaquants peuvent créer des messages plus convaincants en combinant les centres d’intérêt du supporter, l’historique des achats et les coordonnées.