Fuite de données chez FlexBooker

Les types de données vérifiés dans cette fiche sont les adresses e-mail, les noms, les numéros de téléphone, les mots de passe et les informations partielles de cartes bancaires. Le principal risque réside dans l’exposition à grande échelle de coordonnées associées à un contexte de réservation. Les adresses e-mail et les numéros de téléphone peuvent servir à envoyer de faux messages de rappel de rendez-vous, d’annulation, de mise à jour des informations de paiement, de demande d’acompte, de frais de service ou de vérification du dossier client. La présence du nom rend ces messages plus convaincants.

L’exposition d’empreintes de mots de passe et de données partielles de cartes bancaires a été signalée pour un groupe restreint de comptes, et non pour l’ensemble des utilisateurs. Cette distinction est importante. Des données partielles de carte ne correspondent généralement ni au numéro complet de la carte ni à son code de sécurité. Elles peuvent toutefois permettre à un attaquant de rendre plus crédibles de faux messages de mise à jour des informations de paiement en y intégrant certains détails de la carte. Les empreintes de mots de passe augmentent également le risque de prise de contrôle des comptes lorsque les mots de passe sont faibles ou réutilisés.

Le nombre de comptes uniques vérifiés est de 3 756 794. La date de l’incident est enregistrée au 23 décembre 2021, et celui-ci est associé à la plateforme de réservation en ligne FlexBooker. Les adresses e-mail, les noms et les numéros de téléphone constituent l’essentiel du périmètre concerné. Les empreintes de mots de passe et les données partielles de cartes bancaires ne concernent qu’un nombre limité de comptes. Selon les informations rapportées, l’incident aurait pour origine la compromission d’un compte de service cloud : il s’agit d’un problème d’accès survenu du côté du prestataire, et non de l’utilisateur.

Cette fiche ne comprend pas de numéros complets de cartes bancaires, de codes de sécurité de cartes, de comptes bancaires, de pièces d’identité officielles, de dossiers médicaux, d’adresses physiques ni de champs de données vérifiés contenant des messages privés. Les utilisateurs doivent évaluer les risques en tenant compte de cette limite. Les risques les plus plausibles sont les faux messages de réservation ou de paiement, l’ingénierie sociale par téléphone, les tentatives de connexion avec des mots de passe réutilisés et les tentatives de fraude exploitant des informations partielles de carte.

Les personnes les plus exposées sont celles qui ont pris un rendez-vous ou effectué une réservation auprès d’entreprises utilisant FlexBooker. Elles peuvent ne pas reconnaître directement le nom de la plateforme, car leur réservation peut avoir été effectuée auprès d’un salon, d’un organisme de formation, d’un consultant, d’un prestataire ou d’une entreprise locale. Les personnes dont l’adresse e-mail et le numéro de téléphone sont connus peuvent être ciblées par de faux messages concernant des changements de rendez-vous, des annulations de prestations, des paiements anticipés, des renouvellements d’abonnement ou des mises à jour de leur profil client.

Les empreintes de mots de passe présentent un risque supplémentaire pour les utilisateurs du groupe restreint concerné. Si le même mot de passe est réutilisé sur d’autres comptes, des attaquants peuvent tenter d’utiliser cette combinaison sur différents services. Les personnes dont les données partielles de carte ont été compromises ne doivent pas s’alarmer inutilement comme si toutes les informations de leur carte avaient été divulguées. Elles doivent toutefois laisser les notifications bancaires activées et se méfier des demandes frauduleuses de vérification liées à leur carte. Il convient également de vérifier l’identité des personnes qui appellent et semblent disposer d’informations sur d’anciens rendez-vous.

Si vous avez créé un compte par l’intermédiaire de FlexBooker ou d’une entreprise utilisant ce système, changez le mot de passe de ce compte. Si vous utilisez le même mot de passe sur d’autres comptes, remplacez-le également par un mot de passe unique pour chacun d’eux. Activez la vérification en deux étapes sur votre compte de messagerie et laissez les notifications de sécurité activées. Si vous recevez un message inattendu concernant un rendez-vous, un paiement, un acompte ou une annulation, passez par le canal de communication officiel de l’entreprise plutôt que de cliquer sur un lien.

Si vous pensez que des informations partielles de votre carte ont pu être concernées, surveillez les opérations effectuées avec cette carte, activez les notifications de votre application bancaire et signalez immédiatement à votre banque toute opération que vous ne reconnaissez pas. La compromission du numéro complet de la carte ou de son code de sécurité n’étant pas confirmée, faire systématiquement opposition à la carte peut ne pas être nécessaire dans tous les cas. Il reste toutefois essentiel de se méfier des faux messages de mise à jour des informations de paiement. Le fait qu’une personne qui vous appelle connaisse votre nom ou une réservation antérieure ne prouve pas qu’elle est digne de confiance.

L’incident FlexBooker montre que les plateformes de réservation et de prise de rendez-vous peuvent conserver de grandes quantités de données clients pour le compte de différentes entreprises. À long terme, les utilisateurs devraient employer un mot de passe unique pour chaque service de réservation, protéger rigoureusement leur compte de messagerie et limiter les coordonnées qu’ils communiquent aux services de prise de rendez-vous. Il convient de fermer les comptes inutilisés et de vérifier si les anciennes plateformes de réservation conservent encore les numéros de téléphone et les informations de paiement qui y ont été enregistrés.

Pour les prestataires, la sécurité des comptes cloud, la gestion des clés d’accès, le principe du moindre privilège et la surveillance des téléchargements inhabituels de données sont essentiels. Les systèmes de réservation peuvent sembler n’être que de simples services d’agenda, mais ils conservent des ensembles de données précieux : les noms des clients, leurs numéros de téléphone, leurs adresses e-mail et le contexte de paiement augmentent le risque de fraude. La minimisation des données, un contrôle d’accès robuste et l’information rapide des clients doivent donc faire partie d’une stratégie de sécurité pérenne.

Si votre adresse e-mail figure dans cette fiche, vérifiez si vous avez déjà pris un rendez-vous ou effectué une réservation auprès d’une entreprise utilisant FlexBooker. Changez le mot de passe du compte concerné et modifiez également celui des autres comptes sur lesquels vous le réutilisez. Au lieu de suivre les liens contenus dans des messages d’annulation de rendez-vous, de mise à jour des informations de paiement, de frais de service ou de vérification du profil client, utilisez directement les coordonnées officielles de l’entreprise.

Le principal risque lié à la fuite de données de FlexBooker est l’exposition à grande échelle d’adresses e-mail, de noms et de numéros de téléphone. Les empreintes de mots de passe et les données partielles de cartes bancaires ne concernent qu’un groupe limité de comptes. Les mesures les plus adaptées consistent à cesser de réutiliser les mots de passe, à protéger les comptes de messagerie par une authentification à deux facteurs, à surveiller les opérations par carte et à vérifier avec soin les messages frauduleux liés aux réservations. Cette approche se concentre sur les risques réels sans susciter une inquiétude inutile comme si les données complètes des cartes avaient été divulguées.