Fuite de données chez Get Revenge On Your Ex

Les mots de passe en clair constituent l’un des aspects les plus critiques de cette violation. Un mot de passe en clair permet à un attaquant de l’essayer directement, sans avoir à casser un hachage. Si ce même mot de passe est réutilisé pour une messagerie, des réseaux sociaux, des sites d’achat, des services financiers ou d’autres comptes, le risque de prise de contrôle de ces comptes est immédiat. L’historique d’achat peut également révéler un lien avec le service et porter atteinte à la réputation, à la vie privée ou à la sécurité d’une personne.

Lorsque des adresses postales, des numéros de téléphone, des adresses IP et des noms sont réunis, le risque ne se limite pas à l’hameçonnage en ligne. Ces données peuvent servir à du harcèlement ciblé, à des menaces, à de fausses livraisons, à de faux appels d’assistance, à des tentatives de divulgation ou à de l’ingénierie sociale. Le jeu de données pouvant contenir à la fois des informations sur les clients et sur les personnes ciblées, une personne concernée peut être exposée à un risque même si elle n’a pas utilisé le service. Si le résultat de la vérification est positif, vous ne devez donc pas prendre cet incident à la légère.

Le nombre confirmé à retenir pour cette fiche est de 79 195. Il correspond à un ensemble d’adresses e-mail uniques; il ne faut pas supposer avec certitude que chaque enregistrement correspond à une seule personne réelle. En raison du fonctionnement du service, certains enregistrements peuvent concerner des clients, tandis que d’autres peuvent contenir des informations sur une personne ciblée ou un tiers. Le nombre d’enregistrements ne doit donc pas être présenté directement comme le nombre d’utilisateurs actifs. Le contexte sensible du jeu de données accroît le risque malgré un nombre apparemment faible.

Les catégories de données confirmées sont les adresses e-mail, les adresses IP, les noms, les mots de passe, les numéros de téléphone, les adresses postales et les historiques d’achat. Le champ du mot de passe doit être considéré comme contenant un mot de passe en clair. Un historique d’achat ne désigne ni un numéro de carte de paiement ni une transaction bancaire; cette distinction doit être conservée dans le texte. Les pièces d’identité officielles, les dates de naissance, les messages privés, les cartes de paiement, les comptes bancaires, les données de santé et les numéros de sécurité sociale ne faisant pas partie des champs confirmés, ils ne doivent pas être ajoutés à la fiche.

Le risque le plus élevé concerne les personnes ayant un compte ou un achat enregistré auprès de ce service, ainsi que celles qu’il cible. Pour les clients, l’historique d’achat et les coordonnées peuvent présenter des risques pour leur réputation et leur vie privée. Pour les personnes ciblées, l’adresse postale, le numéro de téléphone et le nom peuvent avoir des conséquences plus graves pour leur sécurité physique. Une correspondance positive ne doit donc pas être considérée comme un simple incident de sécurité lié à un mot de passe.

Les personnes exposées à un risque de harcèlement lié à un ancien partenaire, à leur famille, à leur environnement professionnel ou à leur entourage doivent également faire preuve de prudence. Des informations difficiles à modifier, comme les adresses et les numéros de téléphone, peuvent être utilisées dans des tentatives prolongées de harcèlement ou de menace. Les adresses IP et les adresses e-mail peuvent aussi être reliées à d’autres comptes de la personne concernée. Si une correspondance est trouvée pour vous, gardez à l’esprit que, même si vous n’avez pas ouvert le compte vous-même, vos données peuvent avoir été enregistrées en tant que personne ciblée.

Si votre adresse e-mail figure dans ces données, vous devez vous assurer que le mot de passe concerné n’est utilisé pour aucun autre compte. Si vous avez utilisé le même mot de passe ou un mot de passe similaire sur d’autres comptes, remplacez-le immédiatement sur tous les comptes concernés par un mot de passe unique, long et difficile à deviner. Activez l’authentification multifacteur sur vos comptes de messagerie et de réseaux sociaux. Compte tenu du risque lié aux mots de passe en clair, ne retardez pas cette démarche.

Si votre adresse postale ou votre numéro de téléphone est exposé à un risque, consignez les appels, messages, livraisons, menaces ou tentatives de divulgation inattendus et, si nécessaire, contactez les plateformes, les prestataires de services ou les autorités locales concernés. Pour les comptes liés à un numéro de téléphone, vérifiez les changements de carte SIM ainsi que la sécurité de la récupération des comptes. Ne cliquez pas sur les liens contenus dans des e-mails suspects et vérifiez par un canal indépendant les messages qui prétendent concerner des achats ou une vérification de compte.

Cet incident montre que la présence d’informations telles qu’une adresse postale ou un numéro de téléphone dans des services à haut risque peut avoir des conséquences durables sur la sécurité. Réfléchissez soigneusement avant de communiquer votre adresse e-mail personnelle, votre numéro de téléphone principal ou votre adresse de domicile à des services dont le contexte est sensible. Utiliser, lorsque c’est nécessaire, une adresse e-mail distincte, une boîte postale, un numéro de téléphone virtuel ou des informations de profil limitées peut réduire les risques pour votre vie privée.

Pour les prestataires de services, la principale leçon est que les services présentant un risque élevé de harcèlement ou d’atteinte à la vie privée impliquent une responsabilité bien plus importante en matière de stockage et de sécurité des données. Le stockage des mots de passe en clair est inacceptable; les données relatives aux mots de passe doivent être protégées par des méthodes robustes et à jour. Les champs tels que l’adresse, le numéro de téléphone et l’historique d’achat ne doivent pas être conservés plus longtemps que nécessaire, leur accès doit être strictement limité et les utilisateurs doivent être clairement informés des champs concernés.

Lors de la vérification des données relatives à la violation de Get Revenge On Your Ex, le résultat indique si l’adresse e-mail saisie figure dans ce jeu de données confirmé. Si le résultat est positif, les risques liés à l’adresse e-mail, à l’adresse IP, au nom, au mot de passe en clair, au numéro de téléphone, à l’adresse postale et à l’historique d’achat doivent être évalués ensemble. Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données précis; cela ne prouve pas que la personne n’a pas été concernée par d’autres incidents touchant des données sensibles.

Les mesures appropriées consistent à sécuriser tous les comptes sur lesquels le mot de passe en clair a été utilisé, à renforcer la sécurité de votre messagerie et de vos réseaux sociaux, à surveiller les communications inattendues liées à votre numéro de téléphone et à votre adresse, à consigner les signes de harcèlement ou de menaces et à demander de l’aide si nécessaire. Cette fiche ne doit pas être considérée uniquement sous l’angle d’un problème technique de sécurité des comptes, mais aussi comme un risque pour la sécurité physique, la vie privée et la réputation.