Fun Office Pools Exposition présumée de données

Les champs de données vérifiables sont les adresses e-mail, les noms d’utilisateur et les mots de passe hachés. Une adresse e-mail seule peut servir à envoyer de faux messages de réinitialisation de mot de passe, de fausses invitations à des concours de pronostics ou de fausses notifications de sécurité des comptes. Associée à un nom d’utilisateur, elle permet à des attaquants de vérifier si la personne utilise la même identité sur d’autres jeux, forums ou plateformes sociales.

La présence d’un champ de mot de passe haché ne signifie pas que le mot de passe est en clair. Toutefois, les mots de passe faibles, courts ou réutilisés présentent toujours un risque. Si le même mot de passe a été utilisé sur d’autres services, les données d’un ancien compte de concours entre collègues pourraient donner lieu à des tentatives de connexion à des comptes de messagerie, à des réseaux sociaux ou à des plateformes de jeux. Il ne faut donc pas négliger cet incident, même si son ampleur est modérée.

Le mois et le jour exacts de cet événement n’étant pas étayés par des sources indépendantes, la date est retenue uniquement à l’échelle de l’année 2016. Le système normalise cette date en la ramenant au début de l’année; cela ne constitue pas une indication précise du jour où l’événement s’est produit. L’index ouvert consultable fait état de 56 788 personnes touchées et des champs suivants : adresse e-mail, nom d’utilisateur et mot de passe haché. En l’absence d’entrée dans les principales listes de vérification, le statut non vérifié est maintenu.

Aucune information concernant le nom, le numéro de téléphone, l’adresse physique, la carte de paiement, la date de naissance, l’adresse IP, les messages privés ou les transactions en argent réel n’est ajoutée à la fiche, car ces éléments ne figurent pas parmi les champs de données étayés pour cet événement. Les noms figurant dans l’ancien champ DB sont exclus, faute de sources suffisantes pour les étayer. Il est nécessaire de limiter le périmètre afin de présenter à l’utilisateur le niveau de risque approprié.

Le risque le plus élevé concerne les personnes qui réutilisent le mot de passe de leur compte Fun Office Pools sur d’autres services. Comme les services de pronostics sportifs sont utilisés entre amis, collègues ou membres d’une même famille, les noms d’utilisateur et les adresses e-mail peuvent être associés à l’entourage d’une personne. Cela peut rendre plus convaincantes de fausses invitations, de fausses mises à jour des scores ou de faux messages de réinitialisation de mot de passe.

Les utilisateurs qui créent un compte avec une adresse e-mail professionnelle doivent également faire preuve de vigilance. Une telle adresse peut fournir aux attaquants des indices sur le lieu de travail d’une personne et favoriser des tentatives d’hameçonnage plus ciblées, au moyen de faux messages concernant une activité entre collègues ou un concours de pronostics sportifs. Même lorsqu’un ancien compte a été oublié, le risque lié à la réutilisation du mot de passe peut persister.

En cas de résultat positif, la première étape consiste à déterminer sur quels autres services le mot de passe du compte Fun Office Pools a été réutilisé, puis à choisir un nouveau mot de passe unique pour chacun des comptes concernés. La priorité doit être donnée aux comptes de messagerie, aux réseaux sociaux, aux plateformes de jeux, aux comptes d’achat en ligne et aux comptes professionnels. L’authentification multifacteur doit être activée sur les comptes sensibles.

Faites preuve de prudence face aux messages reçus dans votre boîte de réception qui évoquent des invitations à des concours de pronostics, un état des points, une réinitialisation de mot de passe ou la sécurité des comptes. Plutôt que d’ouvrir les liens, accédez directement au service concerné depuis votre navigateur et ne répondez pas aux messages suspects. Vérifiez également, séparément, les sessions inconnues, les adresses de récupération et les règles de transfert de votre compte de messagerie.

L’utilisation d’un mot de passe distinct pour les concours entre collègues, les jeux et les services de divertissement empêche qu’une fuite touchant une ancienne plateforme ne compromette d’autres comptes. Choisir un mot de passe unique pour chaque service à l’aide d’un gestionnaire de mots de passe réduit le risque que des listes de mots de passe hachés soient exploitées au cours des années suivantes. Les comptes inutilisés doivent être fermés et les anciennes adresses e-mail doivent être vérifiées régulièrement.

Si une adresse e-mail professionnelle est privilégiée pour les services de divertissement ou de pronostics sportifs utilisés au travail, les utilisateurs doivent être sensibilisés aux fausses invitations ciblant cette adresse. Lors des formations, les équipes de sécurité doivent expliquer clairement les conséquences de la réutilisation des mots de passe, les risques que d’anciens services peuvent encore présenter des années plus tard et l’importance de l’authentification multifacteur.

Vous pouvez vérifier votre adresse e-mail sur LeakData pour savoir si vous figurez dans la liste Fun Office Pools. En cas de résultat positif, la présence des champs d’adresse e-mail, de nom d’utilisateur et de mot de passe impose d’agir, même si l’incident est classé comme non vérifié. Le mot de passe doit être changé sur tous les comptes où il est réutilisé, et une vérification supplémentaire doit être ajoutée aux comptes sensibles.

Même en cas de résultat négatif, il est utile de passer en revue vos anciens comptes de concours entre collègues, de jeux et de divertissement. Les mots de passe d’anciens services peuvent réapparaître des années plus tard dans différentes copies des données. L’approche la plus fiable consiste à utiliser des mots de passe uniques et l’authentification multifacteur, à fermer les comptes inutiles et à prendre l’habitude de vérifier directement auprès du service concerné tout message de réinitialisation de mot de passe d’origine inconnue.