Fuite de données chez Fantasy Football Hub

Les types de données répertoriés dans cette fiche sont les adresses e-mail, les adresses IP, les noms, les mots de passe, les achats et les noms d’utilisateur. Lorsque l’adresse e-mail, le nom et le nom d’utilisateur sont présents ensemble, des attaquants peuvent tenter de les rapprocher du profil de football fantasy, du compte de forum ou de l’identité sur les réseaux sociaux d’une personne. Les adresses IP peuvent fournir des éléments techniques sur les sessions ainsi qu’une localisation approximative. Les informations sur les transactions peuvent servir à créer de faux messages de renouvellement d’abonnement, de retour, d’accès premium ou de vérification de paiement. Les hachages de mots de passe WordPress MD5 ne sont pas des mots de passe en clair; toutefois, les mots de passe faibles peuvent être retrouvés rapidement, et les mots de passe réutilisés peuvent être essayés sur d’autres comptes. Cette fiche ne contient pas de données complètes de cartes de paiement, de comptes bancaires, de numéros de téléphone ni d’adresses postales. Néanmoins, la combinaison des mots de passe et des informations sur les transactions représente un risque important de prise de contrôle de comptes et de fraude aux abonnements.

Le principal indicateur vérifié est le nombre de comptes de messagerie uniques : 66 479. Les catégories de données se limitent aux adresses e-mail, aux adresses IP, aux noms, aux hachages de mots de passe, aux informations sur les transactions et aux noms d’utilisateur. Les informations sur les transactions ne sont pas des numéros de cartes de paiement; elles peuvent révéler l’historique des achats ou des abonnements de l’utilisateur auprès du service. Les numéros de téléphone, les adresses postales, les données de cartes de paiement, les comptes bancaires, les pièces d’identité officielles et le contenu des messages privés ne font pas partie des champs vérifiés de cette fiche. Il a été relevé que les hachages de mots de passe sont au format WordPress MD5; il faut donc agir comme si le mot de passe de l’utilisateur était exposé. L’incident étant lié à un service de football fantasy, le risque peut notamment se traduire par des messages d’ingénierie sociale plus convaincants pendant la saison de football, au début du championnat, durant les semaines de transferts et lors des périodes de diffusion de contenus premium.

Le principal groupe à risque comprend les personnes qui ont ouvert un compte Fantasy Football Hub et utilisé les contenus Fantasy Premier League; certaines peuvent également avoir un abonnement premium ou un historique de transactions. Les utilisateurs qui reprennent le même nom d’utilisateur sur les réseaux sociaux, les forums de football ou les plateformes de jeux sont davantage exposés au risque de rapprochement de leurs profils. Les personnes qui utilisent le même mot de passe pour leur messagerie, leurs réseaux sociaux, leurs applications sportives sans paris ou leurs services d’abonnement sont vulnérables aux tentatives de prise de contrôle de comptes. Les utilisateurs dont les informations sur les transactions sont présentes peuvent être ciblés par de faux messages de renouvellement d’abonnement, de réduction, de remboursement ou de vérification de compte premium. Les créateurs de contenus sur le football, les responsables de mini-ligues et les membres actifs des communautés peuvent être des cibles plus visibles. Les informations liées aux adresses IP peuvent aider les attaquants à créer des messages portant sur la région ou la sécurité des sessions.

Si votre adresse e-mail figure dans cette fiche, ne considérez plus le mot de passe de votre compte Fantasy Football Hub comme sûr. Définissez un mot de passe unique pour chacun de vos comptes de messagerie, de réseaux sociaux, d’abonnement, de jeux et de services sportifs sur lesquels vous utilisez le même mot de passe ou un mot de passe similaire. Activez l’authentification multifacteur sur les services qui la proposent. Avant de cliquer sur les liens de messages inattendus concernant un renouvellement d’abonnement premium, un remboursement, une réduction, une analyse d’équipe, une invitation à une mini-ligue ou une vérification de compte, accédez directement à votre compte depuis une adresse web connue. Ne faites pas confiance aux messages dont l’expéditeur connaît déjà vos informations de transaction ou votre nom d’utilisateur; ces informations ont pu être divulguées. Vérifiez les alertes de réinitialisation de mot de passe et les notifications de nouvelle connexion dans votre messagerie. Si vous utilisez le même nom d’utilisateur sur d’autres plateformes, passez en revue les informations visibles sur vos profils.

Les comptes de sports fantasy et d’abonnement connaissent des reprises d’activité au fil des cycles saisonniers; d’anciennes fuites peuvent donc être réutilisées à l’occasion de nouvelles campagnes. Les utilisateurs devraient choisir des mots de passe uniques pour chaque service d’abonnement, privilégier un gestionnaire de mots de passe et fermer leurs anciens comptes. Conserver le même nom d’utilisateur pour les mini-ligues, les forums et les réseaux sociaux peut être pratique, mais présente un risque important de rapprochement des profils lorsque des jeux de données sont combinés. Du côté de la plateforme, les anciens formats de hachage comme WordPress MD5 devraient être remplacés par des méthodes de stockage des mots de passe modernes et robustes. Les durées de conservation des anciens enregistrements de transactions devraient être maîtrisées, et les messages relatifs aux abonnements premium et aux remboursements devraient comporter des étapes de vérification explicites. Les utilisateurs devraient se montrer plus prudents face aux messages de réduction, de remboursement et d’accès premium reçus au début de la saison de football et pendant les périodes de transferts intenses.

La vérification LeakData indique si votre adresse e-mail figurait dans la fuite de Fantasy Football Hub. Un résultat positif ne signifie pas que des données de carte de paiement, un numéro de téléphone ou une adresse postale figurent parmi les catégories de données vérifiées; le risque vérifié concerne l’utilisation abusive des adresses e-mail, des adresses IP, des noms, des noms d’utilisateur, des informations sur les transactions et des hachages de mots de passe WordPress MD5. Les mesures à prendre consistent à changer les mots de passe réutilisés, à sécuriser en priorité le compte de messagerie, à vérifier les messages d’abonnement et de remboursement, et à réduire le risque de rapprochement des profils par le nom d’utilisateur. Si la même adresse e-mail figure également dans d’autres fuites concernant des services sportifs, de jeux ou d’abonnement, le risque augmente; les attaquants peuvent combiner les centres d’intérêt liés au football, l’historique des transactions et les informations de compte pour créer des messages plus convaincants.