Fuite de données chez Gemplex

Les types de données vérifiés sont les informations sur les appareils, les adresses e-mail, les noms, les numéros de téléphone et les mots de passe. L’adresse e-mail constitue le principal point de départ permettant à un attaquant de rechercher l’utilisateur sur d’autres services et de relier une même identité à différents jeux de données. L’ajout du nom donne aux messages un caractère personnel. Le numéro de téléphone augmente le risque de tromperie par SMS et par appel. Les informations sur les appareils peuvent donner un indice sur l’environnement matériel depuis lequel l’utilisateur accède au service de streaming; elles peuvent être exploitées dans des messages de faux support technique, de vérification d’appareil ou de notification d’activité du compte.

Il a été vérifié que le champ du mot de passe contient des valeurs hachées protégées par bcrypt. Ce mode de stockage est plus résistant que le stockage de mots de passe en clair; des risques subsistent toutefois pour les mots de passe faibles, courts ou réutilisés. Les attaquants peuvent tenter d’utiliser les combinaisons compromises d’adresses e-mail et de mots de passe sur d’autres services. Des messages qui s’appuient sur le nom, le numéro de téléphone et les informations sur les appareils peuvent donner à l’utilisateur l’impression qu’il a réellement reçu une alerte de sécurité concernant son compte Gemplex. Le risque ne se limite donc pas à un seul compte : il peut aussi s’étendre à d’autres comptes créés avec la même adresse e-mail ou le même numéro de téléphone.

La date vérifiée de la fuite est le 18 février 2021, et la date de son inscription dans les systèmes de référencement est le 9 décembre 2023. Au total, 4 563 166 comptes sont concernés. Les catégories de données sont les informations sur les appareils, les adresses e-mail, les noms, les numéros de téléphone et les empreintes de mots de passe. Pour une recherche portant sur un utilisateur, le nombre d’enregistrements doit être interprété comme un nombre de comptes uniques; le chiffre arrondi de 4,6 millions cité dans différents contextes est une représentation approximative de ce nombre. Il ne faut pas supposer que les données présentent le même niveau de détail pour chaque utilisateur, car certains champs peuvent n’être présents que pour certains comptes.

Les éléments qui ne relèvent pas du périmètre vérifié doivent également être clairement distingués. Les données de carte de paiement, de compte bancaire, de numéro d’identification officiel, d’adresse physique, d’historique de navigation, de contenus visionnés ou de messages privés ne font pas partie des catégories de données vérifiées pour cet incident. Les informations fiables accessibles au public sur sa cause technique sont limitées; l’explication se concentre donc sur les catégories de données vérifiées plutôt que sur des spéculations quant à la cause. Le risque présenté à l’utilisateur doit se limiter à la fuite de données de compte de streaming et de coordonnées; les affirmations non prouvées concernant des données de paiement ou d’identification officielle ne doivent pas être incluses.

Les personnes qui ont créé un compte Gemplex, utilisent ce service de streaming en ligne basé en Inde ou souscrivent des abonnements à des services de médias avec la même adresse e-mail constituent le premier groupe à risque. Les utilisateurs qui ajoutent leur numéro de téléphone à leur compte sont davantage exposés à l’ingénierie sociale. Si le même mot de passe est utilisé sur d’autres services, le risque augmente encore, car les attaquants peuvent tester des combinaisons d’adresses e-mail et de mots de passe sur différentes pages de connexion. Les personnes qui n’utilisent plus leur ancien compte ne sont pas non plus à l’abri, car leur adresse e-mail et leur numéro de téléphone peuvent rester valides pendant longtemps.

Une vigilance particulière s’impose si vous partagez un appareil avec des membres de votre famille, créez un compte sur un service de médias avec une adresse e-mail professionnelle ou recevez des messages d’assistance sur votre numéro de téléphone. Un attaquant peut vous envoyer des messages portant sur le renouvellement d’un abonnement, la vérification d’un appareil, l’accès aux contenus, une réduction, la fermeture d’un compte ou la réinitialisation d’un mot de passe. Ces messages peuvent paraître plus crédibles lorsque des informations sur les appareils sont associées au compte. Il convient donc de vérifier non seulement la sécurité des mots de passe, mais aussi l’authenticité des notifications de compte reçues par téléphone et par e-mail.

Si vous constatez que vous êtes concerné, vérifiez d’abord si le mot de passe que vous utilisiez pour Gemplex est également utilisé sur d’autres comptes. Si vous utilisez ailleurs le même mot de passe ou un mot de passe similaire, attribuez à chaque compte un mot de passe unique, long et robuste. Donnez la priorité à votre compte de messagerie, à votre gestionnaire de mots de passe, à vos comptes financiers, à vos réseaux sociaux et aux autres services de publication. Si votre compte Gemplex est toujours accessible, passez en revue les sessions, les appareils connectés, le numéro de téléphone et les préférences relatives aux e-mails. Si des options de vérification supplémentaires sont proposées, activez-les.

N’ouvrez pas directement les liens de messages portant sur Gemplex, un abonnement, un paiement, la vérification d’un appareil ou une alerte de sécurité. Si vous devez accéder au service, saisissez vous-même son adresse dans le navigateur ou utilisez une application officielle que vous connaissez. Refusez les demandes de mot de passe, de paiement ou de code de vérification reçues par téléphone. Si vous recevez un message suspect, consultez l’historique de connexion du compte sans cliquer sur le lien, et vérifiez les alertes de connexion inhabituelle sur les autres services associés à la même adresse e-mail. Ces mesures réduisent le risque de prise de contrôle d’un compte, même après la circulation des données.

À long terme, utilisez des mots de passe distincts pour vos comptes de publication, de jeux, d’achats et de réseaux sociaux. Un gestionnaire de mots de passe facilite la création de mots de passe uniques pour chaque service et permet de retrouver les anciens. Lorsque le numéro de téléphone n’est pas obligatoire, ne le communiquez pas et privilégiez une adresse e-mail distincte pour vos comptes de médias et de divertissement. Fermez régulièrement les comptes inutilisés ou réduisez les informations présentes dans leur espace personnel. Ainsi, la quantité de données susceptible d’être exposée lors d’une future fuite reste plus limitée.

Lorsqu’une fuite implique des informations sur les appareils, la sécurité ne doit pas être envisagée uniquement sous l’angle des mots de passe. Vérifiez périodiquement les appareils associés à vos comptes et vos préférences de notification. Fermez les sessions restées ouvertes sur d’anciens téléphones, des tablettes partagées et des ordinateurs collectifs. Les formations à la prévention de l’hameçonnage doivent aussi aborder les thèmes des abonnements à des services de médias, de l’accès aux contenus et de la vérification des appareils. À titre individuel, signaler les SMS suspects, ne pas communiquer d’informations lors d’appels provenant de personnes inconnues et maintenir les alertes de compte activées permet de réduire durablement le risque.

Les décomptes de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas considérés comme faisant partie du périmètre public de l’incident. Ce résultat ne signifie pas que vos données de carte de paiement, d’identification officielle, d’historique de navigation ou d’adresse physique ont été divulguées. Les champs vérifiés sont les informations sur les appareils, l’adresse e-mail, le nom, le numéro de téléphone et l’empreinte de mot de passe protégée par bcrypt. La première vérification consiste à déterminer si le mot de passe utilisé pour Gemplex a été réutilisé sur d’autres comptes.

Si vous avez réutilisé ce mot de passe, modifiez-le sur les comptes concernés, un par un, et activez une vérification supplémentaire partout où cela est possible. Méfiez-vous des SMS portant sur un abonnement, la vérification d’un appareil ou la sécurité d’un compte, car votre numéro de téléphone peut lui aussi avoir été exposé. N’ouvrez pas les liens suspects; accédez au service par des adresses que vous connaissez ou par l’application officielle. Vérifiez l’activité de connexion sur les autres comptes de médias et de réseaux sociaux qui utilisent la même adresse e-mail. Face à cet incident, la bonne démarche consiste à réduire les risques à long terme pour la sécurité des comptes liés aux adresses e-mail, aux numéros de téléphone, aux informations sur les appareils et aux anciennes empreintes de mots de passe, plutôt qu’à amplifier des affirmations non vérifiées sur d’autres types de données.