Fuite de données chez GeniusU

Les types de données dont l’exposition a été confirmée sont les adresses e-mail, les noms, les adresses IP, les localisations géographiques, les informations relatives au genre, les profils sur les réseaux sociaux et les mots de passe. L’adresse e-mail constitue le principal point de départ permettant à un attaquant de rechercher un utilisateur sur différents services. Le nom et les liens vers les profils peuvent être rapprochés de sa présence publique au sein d’une communauté professionnelle ou entrepreneuriale. L’adresse IP et les informations de localisation peuvent fournir des indices supplémentaires sur le contexte de connexion de l’utilisateur. Les informations relatives au genre ne suffisent pas, à elles seules, à compromettre un compte, mais elles peuvent servir à personnaliser des messages.

Le champ de mot de passe doit être considéré comme contenant des empreintes protégées par bcrypt, et non des valeurs en clair. Ce mode de stockage offre une meilleure protection que le stockage en clair; les risques persistent toutefois lorsque les mots de passe sont faibles ou réutilisés. Des attaquants peuvent tenter d’utiliser sur d’autres services des combinaisons obtenues à partir des adresses e-mail et des empreintes de mots de passe. Les liens vers les profils sur les réseaux sociaux et les noms peuvent rendre plus convaincants de fausses invitations à un programme de mentorat, des notifications d’événements, des messages concernant l’accès à des cours ou à des réseaux d’investissement, ou encore des alertes de sécurité des comptes. Le risque ne se limite donc pas à un seul compte sur la plateforme.

La date enregistrée pour la violation est le 2 octobre 2020, et celle de son ajout aux répertoires généralistes de violations de données est le 8 janvier 2021. Le nombre de comptes vérifiés pour la recherche par utilisateur est de 1 301 460. La décision de l’autorité de régulation indique que les données personnelles d’environ 1,26 million d’utilisateurs ont été touchées. Elle précise que les données concernées sont le nom, l’adresse e-mail, la localisation et l’adresse IP de la dernière connexion. L’annonce de l’entreprise mentionne les champs du nom, de l’adresse e-mail, de l’empreinte du mot de passe et de la localisation. Les répertoires de violations de données recensent également les informations relatives au genre et les liens vers des profils sur les réseaux sociaux parmi les catégories de données supplémentaires.

Les éléments qui ne relèvent pas du périmètre confirmé doivent être clairement distingués. Aucune fuite d’informations de carte de crédit, de compte bancaire, de données de santé, de numéro de pièce d’identité officielle, de contenu de messages privés ou de transactions de paiement n’a été confirmée dans cet incident. Pour les mots de passe, le terme exact n’est pas « mots de passe en clair », mais « empreintes de mots de passe ». Une décision de l’autorité de régulation faisant autorité relie la cause de l’incident à la compromission d’un compte de développeur et à la découverte d’identifiants de connexion à la base de données dans l’environnement de code. Dans les informations publiques destinées aux utilisateurs, le risque principal doit être évalué à partir des catégories de données dont l’exposition a été confirmée et des précautions à prendre.

Les entrepreneurs, les formateurs, les mentors, les étudiants, les membres de communautés et les personnes qui suivent des contenus de développement professionnel et ont ouvert un compte GeniusU constituent le premier groupe à risque. Les personnes qui utilisent la plateforme avec une adresse e-mail professionnelle sont davantage exposées aux messages ciblés, car leur adresse e-mail et leur nom peuvent être rapprochés de leur identité professionnelle. Les utilisateurs dont le profil comporte un lien vers un réseau social peuvent être associés à leurs comptes sur d’autres réseaux. Lorsque des informations de localisation et d’adresse IP sont disponibles, il devient plus facile d’adapter les messages à un contexte local ou régional.

Les personnes qui utilisent le même mot de passe pour plusieurs comptes sur des plateformes éducatives, des réseaux professionnels, des services de messagerie ou des réseaux sociaux doivent redoubler de prudence. Dans les communautés liées à l’entrepreneuriat et à la formation, les utilisateurs partagent souvent à la fois un profil public, leurs participations à des événements et des liens vers leurs réseaux sociaux. Ces informations peuvent être exploitées dans des tentatives d’ingénierie sociale : fausses invitations à des événements, messages d’investisseurs, rendez-vous avec des mentors, notifications de certificats ou alertes concernant l’accès à des cours. Les personnes qui n’utilisent plus leurs anciens comptes ne sont pas non plus à l’abri : leur adresse e-mail, leur nom et les liens vers leurs profils peuvent rester valides longtemps.

Si vous constatez que vous êtes concerné, vérifiez d’abord si vous avez utilisé votre mot de passe GeniusU pour d’autres comptes. Si vous avez employé le même mot de passe, ou un mot de passe similaire, ailleurs, attribuez à chaque compte un mot de passe unique, long et robuste. Donnez la priorité aux comptes de messagerie, aux gestionnaires de mots de passe, aux comptes sur les réseaux sociaux et professionnels, ainsi qu’aux plateformes éducatives. Si vous avez accès à votre compte GeniusU, passez en revue les sessions, les profils de réseaux sociaux associés, la visibilité de votre profil, le champ de localisation et vos préférences de messagerie.

N’ouvrez pas directement les liens concernant l’accès à des cours, une invitation à un programme de mentorat, un billet pour un événement, un certificat, un réseau d’investissement, une réinitialisation de mot de passe ou la sécurité des comptes. Si vous devez accéder au service, saisissez vous-même son adresse dans le navigateur ou utilisez une page de connexion officielle que vous connaissez. Ne communiquez pas de codes de vérification ni de mots de passe en réponse à des demandes reçues par téléphone, par e-mail ou sur les réseaux sociaux. Si vous utilisez une adresse e-mail professionnelle, signalez à votre équipe de sécurité interne que cette adresse figure dans les résultats et assurez-vous de ne pas utiliser le même mot de passe pour vos outils de travail.

À long terme, l’utilisation de mots de passe uniques pour les comptes éducatifs, communautaires et professionnels constitue la protection fondamentale. Un gestionnaire de mots de passe facilite le repérage des mots de passe anciens et réutilisés. Ne partagez les liens vers vos profils sur les réseaux sociaux que lorsque cela est nécessaire et vérifiez régulièrement les champs de votre profil public. Utiliser une adresse e-mail distincte pour les comptes de communautés professionnelles rend plus difficile le rapprochement de vos identités personnelle et professionnelle dans une même fuite. Si le champ de localisation n’est pas obligatoire, limitez les informations que vous y indiquez.

Les formations à la prévention de l’hameçonnage destinées aux utilisateurs en entreprise doivent traiter les plateformes de formation externes et les comptes sur les réseaux professionnels comme un scénario à part entière. Pour les comptes de développeurs, les dépôts de code et les accès aux bases de données, l’authentification multifacteur, les outils de gestion des secrets et les audits réguliers des accès doivent être obligatoires. À titre individuel, garder les alertes de compte activées, limiter les associations avec vos comptes de réseaux sociaux, vérifier les invitations à des événements inconnus et fermer les anciens comptes communautaires permettent de réduire durablement les risques.

Si la violation de données de GeniusU apparaît dans les résultats de recherche, votre adresse e-mail peut avoir figuré dans un jeu de données vérifié comprenant 1 301 460 comptes. Ce résultat ne signifie pas que les données de votre carte de paiement, de votre compte bancaire, vos données de santé ou votre numéro de pièce d’identité officielle ont été divulgués. Les champs dont l’exposition a été confirmée sont l’adresse e-mail, le nom, l’adresse IP, la localisation, les informations relatives au genre, les liens vers les profils sur les réseaux sociaux et l’empreinte du mot de passe. La première vérification consiste à déterminer si le mot de passe utilisé pour GeniusU a été réutilisé pour d’autres comptes.

Si vous avez réutilisé ce mot de passe, modifiez celui de chacun des comptes concernés et activez une vérification supplémentaire partout où cela est possible. Limitez les liens vers vos profils, les informations du champ de localisation et les renseignements personnels accessibles au public lorsqu’ils ne sont pas nécessaires. N’ouvrez pas les liens suspects concernant des activités, des cours, des mentors, des certificats ou la sécurité des comptes. Accédez au service par l’adresse que vous connaissez et vérifiez les paramètres de sécurité de votre compte de messagerie. Face à cet incident, la bonne démarche consiste à réduire les risques à long terme pour la sécurité de vos comptes liés à l’adresse e-mail, au profil, à la localisation, à l’adresse IP et à l’empreinte du mot de passe, plutôt qu’à amplifier des affirmations non vérifiées concernant des données financières.