Citoyens français: fuite de données de 2024

Les catégories de données vérifiées sont les informations sur les appareils, les adresses e-mail, les adresses IP, les noms, les données partielles de cartes de crédit, les numéros de téléphone et les adresses postales. Comme les jeux de données à l'origine de cet ensemble ne comportaient pas les mêmes champs, une ligne peut contenir une adresse e-mail et un numéro de téléphone, tandis qu'une autre peut ne contenir qu'une adresse ou un détail sur un appareil. La liste des catégories ne signifie pas que chaque résultat positif comprend des données de toutes ces catégories.

La présence de données partielles de carte de paiement ne signifie pas qu'un numéro de carte complet ou un code de sécurité de carte était présent. Toutefois, des éléments limités, comme le type de paiement ou les quatre derniers chiffres d'une carte, peuvent rendre des tentatives de fraude ciblée plus crédibles lorsqu'ils sont associés à des coordonnées. Les numéros de téléphone et les adresses postales peuvent servir à créer de faux messages concernant une livraison, un avis bancaire ou un service public. Les détails sur les adresses IP et les appareils peuvent fournir des indications limitées sur une session, une région ou les habitudes d'utilisation d'un appareil.

Les mots de passe ne font pas partie des catégories de données vérifiées pour cette fiche. L'absence de cette catégorie n'élimine pas le risque. Une adresse e-mail, un nom et un numéro de téléphone peuvent être combinés à des détails issus d'incidents plus anciens pour faciliter des escroqueries liées à la réinitialisation de mots de passe, aux demandes d'assistance ou aux codes d'authentification. Une réaction adaptée tient compte du risque lié à la personnalisation des attaques que permet la combinaison des champs, plutôt que de considérer un seul champ isolément.

La présence de plus de 90 millions de lignes a été signalée dans l'ensemble exposé, tandis que la fiche de référence contient 28 445 106 adresses e-mail uniques. Ces chiffres mesurent des éléments différents. Le premier décrit le volume brut de lignes; le second correspond au nombre d'adresses e-mail après suppression des doublons. Une même personne ou adresse peut apparaître dans plusieurs fichiers ou lignes. Le nombre brut de lignes ne peut donc pas être directement converti en nombre de personnes.

L'enquête a relevé des indices de l'existence d'au moins dix-sept jeux de données liés. Les noms des fichiers et la diversité des champs indiquent que les données provenaient de différents incidents passés ou processus de collecte. L'origine initiale de chaque fichier et la réalité de chaque incident suggéré par un nom de fichier n'ont pas été établies de manière indépendante. Il serait donc inexact de rattacher cet ensemble à un seul attaquant, à une seule organisation victime ou à une seule méthode d'accès.

Le propriétaire de l'environnement exposé n'a pas été identifié. Cette incertitude ne permet pas de tirer des conclusions telles que la nécessité de fermer des comptes auprès d'une marque donnée, de considérer tous les clients d'une organisation comme exposés à un risque ou d'attribuer les données d'une personne dont l'adresse a été retrouvée à une origine précise. La date figurant sur cette page correspond à la période où l'ensemble a été découvert en accès libre; elle ne permet pas d'établir quand chacun des fichiers qui le composent a été créé à l'origine. Les champs disponibles varient d'une personne à l'autre et doivent être interprétés avec prudence.

Les personnes dont l'adresse e-mail, le numéro de téléphone et l'adresse postale apparaissent ensemble sont davantage exposées aux tentatives d'hameçonnage et d'ingénierie sociale utilisant des détails personnels. Un attaquant peut se servir d'une adresse crédible, du nom d'un service local ou d'une préférence de contact pour préparer des messages concernant des livraisons retardées, des remboursements d'impôts, la sécurité bancaire ou des renouvellements de compte. La présence de détails personnels dans un message ne prouve pas que son expéditeur est digne de confiance.

Les personnes pour lesquelles des informations partielles de carte de paiement ont été retrouvées doivent être particulièrement prudentes face aux appels concernant le renouvellement d'une carte, la vérification d'une transaction ou un remboursement. La connaissance des quatre derniers chiffres d'une carte ne prouve pas que l'interlocuteur représente la banque. Lorsqu'une demande sensible vous parvient au nom d'une banque ou d'un prestataire de paiement, utilisez le numéro imprimé sur la carte ou l'application officielle du prestataire pour prendre contact de manière indépendante.

Les personnes qui utilisent les mêmes coordonnées dans un contexte professionnel, familial ou sur des profils publics peuvent également être plus faciles à cibler. Les informations IP et les détails sur les appareils ne suffisent pas, à eux seuls, à prouver une localisation ou la compromission d'un compte. Combinés à d'autres renseignements publics, ils peuvent toutefois aider à sélectionner des cibles et à préparer des approches crédibles. Si vous utilisez une même adresse e-mail sur de nombreux services en ligne, examinez avec une attention particulière les notifications de sécurité inattendues.

Vérifiez d'abord que le mot de passe de votre compte de messagerie est unique et que l'authentification multifacteur est activée. Comme cette fiche ne mentionne pas de catégorie de mots de passe, un résultat positif ne doit pas, à lui seul, être considéré comme la preuve que tous vos mots de passe ont été exposés. Le compte de messagerie reste néanmoins un point de récupération pour d'autres services : sa sécurité mérite donc une vérification immédiate. Fermez les sessions que vous ne reconnaissez pas et vérifiez que les numéros de téléphone de récupération et les adresses secondaires sont à jour.

Consultez régulièrement les opérations effectuées avec votre carte de paiement et les alertes bancaires. Contactez l'émetteur de la carte par un canal officiel si vous remarquez de petits débits que vous ne reconnaissez pas, des demandes de vérification suspectes ou des messages de renouvellement de carte. La décision de remplacer une carte doit reposer sur des indices supplémentaires, comme une transaction suspecte ou un conseil de l'émetteur. Ne communiquez pas de données de carte, de codes à usage unique ou de documents d'identité en réponse à un appel non sollicité.

Dans les e-mails, les SMS et les appels, évaluez séparément la destination des liens, le domaine de l'expéditeur et l'action demandée. Un message qui utilise le nom d'un service de livraison, d'une administration, d'une banque ou d'une équipe d'assistance clientèle doit tout de même être confirmé par un canal indépendant, même s'il contient des détails personnels. Supprimer de vos profils sociaux et professionnels les informations non nécessaires concernant votre adresse, votre numéro de téléphone et votre date de naissance peut également compliquer les tentatives de ciblage ultérieures.

Utiliser un mot de passe long et unique pour chaque service limite les conséquences des ensembles de données provenant de plusieurs sources. Un gestionnaire de mots de passe peut réduire leur réutilisation et vous aider à conserver des identifiants robustes. Lorsque ces options sont disponibles, privilégiez une application d'authentification ou une clé matérielle pour l'authentification multifacteur. Les codes reçus par SMS apportent une protection supplémentaire, mais n'éliminent pas tous les risques d'ingénierie sociale.

Vérifiez régulièrement les paramètres de récupération de vos comptes. Supprimez les adresses de transfert, les numéros de téléphone et les applications connectées que vous ne reconnaissez pas, et fermez les sessions inconnues. Vérifiez également les règles de votre messagerie : des attaquants peuvent tenter d'ajouter des règles de transfert ou d'archivage pour masquer les notifications de sécurité. Ces vérifications sont utiles pour tous les comptes numériques, et pas uniquement dans le cadre de cet événement.

Limiter les informations communiquées constitue aussi une protection durable. Laissez vides les champs non indispensables dans les formulaires liés aux cadeaux promotionnels, au crédit, aux réductions, aux livraisons et aux adhésions, et utilisez une adresse de contact distincte lorsque cela est possible. Examinez les paramètres de confidentialité proposés par les services et limitez le partage avec des tiers. Moins les informations personnelles révèlent de contexte en ligne, plus il devient difficile de préparer des prises de contact ciblées et crédibles à partir de vastes ensembles de données.

Utilisez la vérification proposée sur cette page pour savoir si votre adresse e-mail figure dans l'ensemble « Citoyens français ». Un résultat positif indique que l'adresse relève du périmètre vérifié; il ne permet pas d'établir que tous les types de données figuraient dans votre ligne, qu'un compte a été compromis ou qu'une seule organisation a fourni les données. Considérez ce résultat comme un signal de risque personnel et donnez la priorité aux vérifications de sécurité de vos comptes.

En l'absence de résultat positif, vos anciennes adresses e-mail, vos alias et les comptes que vous n'utilisez plus peuvent néanmoins mériter une vérification. L'absence de correspondance ne garantit pas qu'aucune donnée personnelle ne se trouve ailleurs en ligne. Effectuer des vérifications de sécurité régulières, confirmer les prises de contact suspectes par un canal indépendant et examiner les opérations de paiement reste l'approche la plus fiable.