Fuite de données chez FlipaClip

Les types de données répertoriés dans cet incident sont les suivants : dates de naissance, adresses e-mail, localisations géographiques et noms. L’association de la date de naissance et du pays au nom et à l’adresse e-mail peut faciliter le ciblage selon l’âge et la région. La présence conjointe de ces champs peut créer une surface d’attaque plus large qu’une simple fuite d’adresses e-mail. Les attaquants peuvent combiner les coordonnées, les éléments d’identité, les comportements liés aux comptes et le contexte sectoriel pour concevoir des messages plus convaincants.

Cette fiche ne répertorie aucun champ de mot de passe. Toutefois, des données durables comme la date de naissance et la localisation présentent des risques à long terme pour la vie privée. Lorsque la fiche comporte un champ de mot de passe, la réutilisation du même mot de passe, ou d’un mot de passe similaire, sur d’autres services crée directement un risque de prise de contrôle des comptes. Lorsque la fiche ne comporte pas de mot de passe, des données durables relatives à l’adresse, au numéro de téléphone, à l’appareil, à l’établissement scolaire, aux achats ou à l’identification officielle peuvent renforcer les scénarios d’ingénierie sociale et de fraude.

La fuite touche environ 893 000 comptes associés au domaine flipaclip.com et aux utilisateurs de l’application d’animation. L’incident est classé comme une fuite de données vérifiée. La description n’a donc pas été élargie de manière à exagérer l’incident : les types de données répertoriés et le nombre de comptes ont été conservés. La délimitation du périmètre est particulièrement importante pour les fiches concernant des données sensibles, car il faut distinguer le risque réel pour l’utilisateur du risque hypothétique.

Bien qu’il ait été rapporté que le problème avait été résolu du côté de l’application, les données personnelles divulguées restent d’actualité pour l’utilisateur. Le titre, le nom de domaine, le pays, le secteur et la catégorie de sensibilité ont été corrigés dans ce cadre. Les noms similaires susceptibles de créer des doublons n’ont pas été regroupés sous un même événement : chaque fiche a été évaluée selon son propre nom de domaine et sa catégorie de données.

Les utilisateurs de FlipaClip, les jeunes créateurs de contenu et les personnes qui utilisent la même adresse e-mail pour leurs comptes scolaires ou sur les réseaux sociaux sont à risque. Pour ces utilisateurs, le principal risque est que les données divulguées puissent être rapprochées des informations utilisées sur d’autres comptes. Si l’adresse e-mail, le numéro de téléphone, le nom d’utilisateur ou les informations relatives à l’appareil restent identiques d’un service à l’autre, les attaquants peuvent s’appuyer sur ces éléments communs pour effectuer de nouvelles tentatives.

Les informations sur l’âge et le pays peuvent servir à concevoir de faux messages concernant des concours, les droits d’auteur, un compte dans l’application ou une collaboration autour de contenus. Les messages professionnels ciblés peuvent paraître plus convaincants aux personnes qui utilisent une adresse e-mail d’entreprise. Pour les particuliers, de fausses alertes de compte, notifications de remboursement ou communications liées à l’école ou aux abonnements peuvent sembler plus crédibles. Les données concernant des enfants, des élèves ou étudiants, des employés ou des adhésions sensibles doivent également être traitées avec prudence.

Les utilisateurs concernés devraient sécuriser leurs comptes de messagerie. Pour les enfants en particulier, les autorisations de l’application devraient être examinées sous la supervision d’un parent ou d’un représentant légal. Si un mot de passe ou un champ assimilable à un mot de passe est répertorié, les utilisateurs devraient changer le mot de passe de tous les comptes sur lesquels ils réutilisent ce même mot de passe, choisir un mot de passe unique et activer l’authentification multifacteur partout où cela est possible. Agir uniquement sur la plateforme concernée peut ne pas suffire : la même combinaison d’adresse e-mail et de mot de passe pourrait aussi être testée sur d’autres services.

Lorsque les fiches contiennent des numéros de téléphone, des adresses, des dates de naissance, des classes scolaires, des données d’identification officielles, des informations financières ou des données relatives aux appareils, les utilisateurs devraient vérifier les options de récupération de compte, les sessions ouvertes, les règles de routage et les notifications suspectes. Pour les comptes professionnels, ces informations devraient être transmises à l’équipe chargée de la sécurité de l’information. Pour les comptes personnels, les liens inattendus reçus par e-mail ou par téléphone devraient faire l’objet de vérifications supplémentaires.

Dans les applications de création, le partage des dates de naissance et des localisations devrait être limité autant que possible, et les informations de profil visibles sur les comptes d’enfants devraient être réduites. À long terme, l’utilisation d’un gestionnaire de mots de passe, de mots de passe différents pour chaque service et de l’authentification multifacteur, ainsi que la fermeture des anciens comptes et la suppression des informations de profil inutiles, constituent des mesures de protection de base. Une fois qu’une fuite de données s’est produite, les données telles que la date de naissance, l’adresse, le numéro de téléphone ou les informations relatives à l’appareil ne peuvent pas être récupérées. Il convient donc de renforcer les pratiques d’utilisation des comptes et les procédures de vérification.

Pour les entreprises et les institutions, ces incidents ne relèvent pas uniquement de la sécurité technique. Ils touchent aussi à la minimisation des données, aux accès des employés, aux durées de conservation des anciens dossiers, aux données des enfants, aux procédures de notification des clients et à la transparence après l’incident. Du côté des utilisateurs, réduire le nombre d’anciens comptes et éviter d’utiliser partout les mêmes informations d’identité diminue durablement le risque.

Si un utilisateur est concerné par cette fiche, il devrait également vérifier les comptes scolaires, les comptes sur les réseaux sociaux et les comptes sur les plateformes de création utilisés avec la même adresse e-mail. Si une correspondance est trouvée, la première étape consiste à lire la liste des champs de données répertoriés et à hiérarchiser les mesures en conséquence. Si un mot de passe est présent, son changement devrait être prioritaire. Si des données d’identification officielles ou financières sont présentes, la surveillance de l’identité et des comptes devrait être prioritaire. Si des données d’élèves ou d’étudiants sont présentes, la vérification des comptes parentaux et scolaires devrait être prioritaire.

Évaluation finale : cette fiche décrit un incident concernant des données sensibles dans une application de création, en raison des champs de date de naissance et de localisation, même si elle ne contient pas de mot de passe. L’utilisateur devrait comparer cette fiche à l’historique de ses comptes et vérifier séparément les services sur lesquels il utilise les mêmes combinaisons d’adresse e-mail, de numéro de téléphone, de mot de passe, d’adresse ou de nom d’utilisateur. Après l’incident, toute recherche, tout message, tout e-mail ou toute notification de récupération de compte présentant un caractère suspect devrait être considéré comme un risque accru.