Violation de données chez HauteLook en 2018

Les catégories de données vérifiées sont les dates de naissance, les adresses e-mail, les genres, les localisations géographiques, les noms et les hachages de mots de passe. Réunies, ces informations peuvent servir à créer des e-mails, des SMS ou des demandes d’assistance qui semblent adaptés à un client. Le nom, la date de naissance et la localisation peuvent rendre plus crédibles des prises de contact trompeuses concernant des problèmes de livraison, des offres de réduction, le renouvellement d’une adhésion ou la vérification d’un paiement.

Les mots de passe étaient répertoriés sous forme de hachages bcrypt, et non en texte clair lisible. Cela ne signifie pas qu’ils étaient directement visibles, mais des mots de passe faibles ou réutilisés peuvent toujours représenter un risque au fil du temps. Une correspondance incluant un hachage de mot de passe ne prouve pas qu’un mot de passe actuel a été récupéré. La décision à prendre en matière de sécurité dépend de la réutilisation des mots de passe et de la protection actuelle des comptes concernés.

Les catégories vérifiées ne comprennent ni les numéros de carte bancaire, ni les numéros de téléphone, ni les adresses postales. Cela ne signifie pas qu’aucun autre enregistrement au sein du service n’a été touché; cela délimite uniquement le périmètre de cet événement vérifié. Il ne faut pas non plus supposer que chaque type de données figure dans chaque correspondance. Considérez une correspondance comme un signal de risque personnel, sans tenir pour établis des détails non prouvés.

La date indiquée sur cette page est le 7 août 2018, et le nombre d’enregistrements de référence est de 28 510 459. Ce chiffre correspond à un périmètre d’adresses e-mail vérifié; il ne représente ni le nombre total de clients ayant utilisé le service, ni celui des comptes actifs, ni la base d’utilisateurs actuelle. Comme une même adresse e-mail peut apparaître dans plusieurs enregistrements, le nombre total d’enregistrements ne peut pas être assimilé directement à un nombre de personnes distinctes.

HauteLook est classé comme un service d’achat en ligne spécialisé dans la mode. Cet événement est associé à ce seul service; les autres marques ou sites marchands qui pourraient appartenir à un groupe d’entreprises lié à HauteLook ne font pas automatiquement partie de son périmètre. La présence d’une personne dans un enregistrement HauteLook ne prouve ni qu’elle avait un compte chez un autre commerçant, ni que d’autres comptes ont été touchés par cet événement.

Les informations vérifiées ne permettent pas d’établir le point de départ de l’intrusion, l’identité d’un attaquant, le moment où chaque fichier de données a été copié, ni quels clients ont été informés. La date situe la période associée à l’événement; à elle seule, elle n’indique ni quand les données sont apparues en ligne pour la première fois, ni quand chaque compte a été utilisé pour la dernière fois. Ces incertitudes ne diminuent pas l’importance de l’événement, mais imposent de rester prudent face aux affirmations techniques qui ne peuvent pas être confirmées.

La priorité doit aller aux personnes qui ont réutilisé un mot de passe HauteLook sur un autre compte d’achat en ligne, de messagerie ou de réseau social. La protection par bcrypt n’élimine pas le risque lié aux mots de passe; ceux qui sont courts, prévisibles ou réutilisés peuvent être testés sur d’autres systèmes. Si vous vous connectez à de nombreux services avec la même adresse e-mail, revoyez vos habitudes en matière de mots de passe, en particulier pour vos anciens comptes.

Si les données associées à votre correspondance comprennent une date de naissance, un nom et des informations géographiques, restez vigilant face aux tentatives de fraude personnalisées. Un attaquant peut utiliser ces détails dans des messages concernant des retards de livraison, des points de fidélité, des coupons, le renouvellement d’une adhésion ou une confirmation de commande. La présence de détails personnels dans un message ne prouve pas que son expéditeur est un commerçant légitime.

Les anciens comptes d’achat en ligne que vous n’utilisez plus activement méritent également votre attention. L’adresse e-mail enregistrée peut encore servir à récupérer l’accès à des services plus récents. Si vous utilisez la même boîte de messagerie, examinez attentivement les sessions que vous ne reconnaissez pas, les règles de transfert, les options de récupération et les notifications inattendues de réinitialisation de mot de passe.

En premier lieu, si un mot de passe utilisé chez HauteLook a également été utilisé ailleurs, remplacez les mots de passe de ces autres comptes par des mots de passe uniques et robustes. Si le compte HauteLook reste accessible, changez également son mot de passe et activez l’authentification multifacteur lorsque cette option est disponible. Les comptes de messagerie servent à récupérer l’accès à de nombreux services : le mot de passe de votre messagerie et ses informations de récupération doivent donc être vérifiés en priorité.

Vérifiez l’activité des comptes et votre boîte de réception afin de repérer des événements inhabituels. Si vous recevez une notification de connexion que vous ne reconnaissez pas, une offre de coupon, une alerte de commande ou un message de réinitialisation de mot de passe, examinez le domaine de l’expéditeur et l’action demandée avant d’ouvrir un lien. Pour vérifier une alerte, rendez-vous directement à l’adresse officielle connue du service plutôt que de suivre celle fournie dans le message.

En cas d’activité suspecte, utilisez le canal d’assistance officiel du service concerné. Révoquez l’accès si les paramètres du compte indiquent un appareil, une session, une adresse de récupération ou une application connectée que vous ne reconnaissez pas. Les données de carte bancaire ne font pas partie des catégories vérifiées. Il reste toutefois prudent de surveiller les alertes de votre banque et de votre carte bancaire pour repérer une activité inhabituelle lorsqu’un compte d’achat en ligne contient un moyen de paiement enregistré.

Utiliser un mot de passe long et différent pour chaque site marchand et chaque service en ligne constitue l’une des protections les plus efficaces. Un gestionnaire de mots de passe peut générer des mots de passe aléatoires et limiter leur réutilisation. Lorsque l’authentification multifacteur est disponible, privilégiez une application d’authentification ou une clé de sécurité matérielle; les codes envoyés par SMS apportent une protection supplémentaire, mais ne peuvent pas empêcher toutes les tentatives de fraude qui paraissent crédibles.

Limitez les informations que vous fournissez dans les champs non essentiels des profils de vos comptes d’achat en ligne, tels que la date de naissance, le genre, la localisation et les préférences de contact. En réexaminant les informations visibles du profil et les adresses enregistrées dans vos anciens comptes, vous laissez moins d’éléments pouvant servir à un ciblage ultérieur. Réduire le partage avec des tiers dans les paramètres de confidentialité des services peut également limiter la diffusion inutile d’informations personnelles.

Vérifiez régulièrement la sécurité des moyens de récupération de vos comptes. Les adresses e-mail secondaires, les numéros de téléphone, les appareils connectés et les sessions doivent rester à jour. Dans la mesure du possible, gardez les alertes de connexion activées et réagissez rapidement si une session inconnue ou un changement d’adresse apparaît. Ces habitudes protègent les comptes de tous les clients, pas seulement ceux des personnes pour lesquelles une correspondance a été trouvée avec cet événement.

Utilisez la fonction de vérification des enregistrements sur cette page pour savoir si votre adresse e-mail correspond à l’événement HauteLook. Une correspondance indique que l’adresse figure dans le périmètre vérifié; elle ne prouve pas que chaque type de données était présent dans votre enregistrement, qu’un mot de passe a été récupéré ou qu’un compte actuel a été compromis. Considérez ce résultat comme un signal de risque personnel pour traiter en priorité la réutilisation des mots de passe et les paramètres de récupération des comptes.

En l’absence de correspondance, il peut néanmoins être utile de vous remémorer vos anciennes adresses e-mail, d’éventuelles inscriptions secondaires et vos comptes d’achat en ligne fermés. L’absence de correspondance ne garantit pas qu’aucune information personnelle ne se trouve ailleurs en ligne. Des mots de passe uniques, l’authentification multifacteur, une vérification régulière des comptes et la confirmation des messages suspects par un moyen indépendant restent les moyens de défense les plus fiables.