FreshMenu Fuite de données

Les types de données confirmés dans cette fiche sont les informations sur les appareils, les adresses e-mail, les noms, les numéros de téléphone, les adresses physiques et les historiques d’achats. Les informations sur les appareils peuvent fournir des indications supplémentaires sur la session de l’utilisateur ou son environnement technique. L’adresse e-mail et le numéro de téléphone peuvent servir à le contacter directement. L’adresse physique de livraison et l’historique des commandes peuvent, quant à eux, révéler des informations sensibles sur son lieu de résidence ou de commande de repas, ses habitudes et ses préférences en matière de services.

La présence d’un champ de mot de passe n’étant pas confirmée, les utilisateurs doivent se préoccuper en priorité des fraudes reposant sur de faux messages et de fausses livraisons, plutôt que du risque de craquage de mots de passe. Si un message mentionne correctement votre nom, votre numéro de téléphone, votre adresse ou des éléments d’une ancienne commande, cela ne suffit pas à prouver sa fiabilité. Examinez attentivement les messages qui contiennent des liens sous prétexte d’une annulation de livraison, d’un paiement supplémentaire, d’un coupon promotionnel, d’une vérification d’adresse ou d’un retour.

Le nombre confirmé de clients uniques est de 110 355. La date de l’incident est consignée comme étant le 1er juillet 2016, et celui-ci est associé au nom de domaine freshmenu.com. FreshMenu est un service de livraison de repas basé en Inde; les mentions du secteur « Administration publique » et du pays « États-Unis » qui figuraient auparavant dans la base de données sont donc incorrectes. Cette fiche doit être examinée dans le contexte de la livraison de repas et des commandes en ligne.

Dans cette fiche, les mots de passe, les valeurs de hachage des mots de passe, les numéros de carte de paiement, les codes de sécurité des cartes, les comptes bancaires, les documents d’identité officiels et le contenu de messages privés ne font pas partie des champs de données confirmés. Les utilisateurs ne doivent pas agir comme si leurs données de carte ou leur mot de passe avaient été divulgués. Toutefois, lorsque l’adresse de livraison, le numéro de téléphone et l’historique des commandes sont réunis, le risque d’ingénierie sociale est réel et permanent. La description des risques doit tenir compte de cette limite.

Les personnes les plus exposées sont les clients qui ont commandé des repas sur FreshMenu et qui utilisent toujours le même numéro de téléphone ou la même adresse e-mail. Même si l’adresse de livraison a changé, l’adresse e-mail et le numéro de téléphone peuvent rester actifs longtemps. Si la même combinaison de nom, de numéro de téléphone et d’adresse a été utilisée pour d’autres services de livraison de repas, d’achat ou de livraison de colis, des attaquants peuvent préparer des messages plus convaincants.

Les utilisateurs disposant d’un historique de commandes sont exposés à des tentatives de fraude plus personnalisées. Des messages évoquant de fausses réductions, leurs restaurants favoris, d’anciennes adresses de livraison, des erreurs de paiement ou des campagnes d’adhésion peuvent sembler authentiques. Les personnes qui se font livrer à leur lieu de travail ou à leur domicile doivent également rester vigilantes : les adresses peuvent être utilisées à mauvais escient non seulement en ligne, mais aussi lors d’appels téléphoniques ou sous prétexte d’une livraison physique.

Si vous avez un compte FreshMenu, vérifiez sa sécurité ainsi que les coordonnées qui y sont enregistrées. Aucune exposition de mot de passe n’étant confirmée dans cette fiche, un changement immédiat de mot de passe n’est pas nécessaire pour tous les comptes. Toutefois, si la même adresse e-mail figure dans d’autres fuites impliquant des mots de passe, définissez un mot de passe unique pour chacun des comptes concernés. Activez l’authentification à deux facteurs sur votre compte de messagerie et surveillez les notifications de sécurité.

Avant de cliquer sur un lien dans un message concernant une livraison de repas, un coupon, un remboursement, une vérification d’adresse ou une annulation de commande, vérifiez les informations dans l’application officielle ou sur le domaine officiel. Le fait qu’une personne qui vous appelle connaisse votre nom ou votre adresse ne prouve pas sa fiabilité. Si l’on vous demande un paiement supplémentaire, un code à usage unique, des données de carte ou des informations de compte, ne donnez pas suite et vérifiez la demande auprès du service client officiel.

L’incident FreshMenu souligne l’importance de limiter les données personnelles superflues dans les comptes de livraison de repas et de services du quotidien. Dès à présent, les utilisateurs devraient fermer les comptes de livraison qu’ils n’utilisent plus, tenir à jour les adresses et numéros de téléphone enregistrés et utiliser des mots de passe robustes et différents pour les services de commande. Les adresses de livraison et les numéros de téléphone pouvant rester inchangés pendant de longues périodes, d’anciennes fuites peuvent alimenter des messages ciblés, même des années plus tard.

Du côté des prestataires de services, les données clients ne devraient être conservées que le temps nécessaire à l’exécution de la commande. Les champs tels que l’historique des commandes et l’adresse de livraison devraient être protégés par des contrôles d’accès stricts. Informer les clients clairement et rapidement lorsqu’un incident est découvert fait partie d’une culture de la sécurité. Même en l’absence de mots de passe ou de données de carte, l’adresse, le numéro de téléphone et l’historique des commandes touchent directement à la vie privée des clients.

Si votre adresse e-mail figure dans cette fiche, vérifiez les coordonnées que vous utilisez pour FreshMenu ou des comptes de services similaires de livraison de repas. Vérifiez les messages inattendus concernant des commandes, des remboursements, des coupons ou une vérification d’adresse par les canaux officiels, et non en suivant le lien fourni. Si la même adresse e-mail figure dans des fuites impliquant des mots de passe, changez les mots de passe de ces comptes et activez l’authentification à deux facteurs.

Dans la fuite de données de FreshMenu, les champs confirmés sont les informations sur les appareils, l’adresse e-mail, le nom, le numéro de téléphone, l’adresse de livraison et l’historique des commandes. L’exposition de mots de passe et de données de carte de paiement n’est pas confirmée; toutefois, le contexte des livraisons et des commandes fournit suffisamment d’éléments pour mener des attaques d’ingénierie sociale. La conduite la plus adaptée consiste à se méfier des faux messages de livraison ou de coupons, à vérifier les informations par les canaux officiels, à réduire le nombre d’anciens comptes de livraison et à garder à l’esprit que la même adresse e-mail pourrait permettre de recouper les données avec celles d’autres fuites.