Fuite de données IndiHome de 2019

La collection vérifiée contenait des informations sur les appareils, des adresses e-mail, des genres, des localisations géographiques, des adresses IP et des noms. La présence de 12 629 245 adresses e-mail uniques parmi plus de 26 millions de lignes indique qu’une même personne ou adresse pouvait apparaître dans plusieurs enregistrements d’activité; le nombre de lignes et celui des adresses uniques sont deux mesures différentes. Le rapprochement d’un nom, d’une adresse e-mail, d’une adresse IP et d’une localisation accroît les risques de recoupement d’identités, d’hameçonnage ciblé et de profilage des utilisateurs. Les détails sur les appareils, tels que le navigateur, la plateforme ou les caractéristiques de l’écran, peuvent aider des criminels à rendre un message plus crédible. Des signalements faisaient état de mots de passe, de numéros de téléphone, de documents d’identité et d’historiques de navigation, mais ces catégories de données n’ont pas été vérifiées séparément dans ce jeu de données et sont exclues de cette fiche.

Selon les signalements, une collection de 26 730 798 lignes attribuée à IndiHome a été publiée sur un forum de piratage en août 2022. L’examen de la copie disponible a permis d’identifier 12 629 245 adresses e-mail uniques, tandis que les enregistrements les plus récents portaient des horodatages de novembre 2019; le catalogue retient donc le 1er novembre 2019 comme date de référence. Cette date ne permet pas de déterminer quand l’accès a eu lieu ni quand l’incident a été rendu public. Elle correspond à la période la plus récente représentée dans la collection. En août 2022, l’autorité indonésienne chargée des communications a annoncé qu’elle examinait la fuite présumée de données clients, qu’elle convoquerait la direction de Telkom pour obtenir des explications et qu’elle se coordonnerait avec l’agence nationale de cybersécurité. Le communiqué officiel présentait encore l’incident comme une allégation. La vérification ultérieure étaye davantage l’authenticité du jeu de données, mais les éléments publics ne permettent pas d’établir la méthode d’accès initiale.

Les personnes dont l’adresse e-mail était liée à un compte IndiHome ou à un profil réseau pendant la période représentée sont les plus exposées. Un nom associé à la bonne adresse e-mail peut servir à personnaliser de fausses factures, des offres frauduleuses de mise à niveau de forfait ou de remplacement de modem, des appels d’assistance technique frauduleux ou des messages de remboursement trompeurs. Une adresse IP ne révèle pas à elle seule une adresse de domicile précise, mais elle peut indiquer une localisation approximative, un fournisseur d’accès à Internet et une zone de desserte. Combinée aux informations géographiques et aux détails sur l’appareil, elle aide un attaquant à donner l’impression de connaître la ville, la plateforme ou le navigateur du destinataire. Les mots de passe ne font pas partie des catégories de données vérifiées pour cette fiche; le jeu de données confirmé ne démontre donc pas une exposition directe des mots de passe. Il peut néanmoins servir à des tentatives d’hameçonnage visant à recueillir des identifiants de connexion ou à manipuler les procédures de récupération de compte. Les anciens clients ne doivent pas supposer que la résiliation du service a supprimé le risque, car les jeux de données copiés peuvent rester en circulation pendant des années.

Vérifiez les connexions récentes, les sessions actives, les adresses de récupération et les règles de transfert du compte de messagerie associé à IndiHome, puis déconnectez les appareils que vous ne reconnaissez pas. Même en l’absence de champ de mot de passe vérifié, de faux messages d’assistance ou de facturation envoyés à la bonne adresse peuvent tenter de recueillir les identifiants du compte. Activez l’authentification multifacteur sur vos comptes de messagerie, vos comptes clients et vos comptes financiers, en privilégiant, lorsque c’est possible, une application d’authentification ou une clé de sécurité matérielle plutôt que les SMS. Ne suivez pas les liens de messages inattendus promettant un remplacement de modem, une augmentation du débit, un règlement de dette ou un rétablissement du service. Saisissez vous-même l’adresse du fournisseur dans le navigateur ou contactez le service client par un canal connu, indépendamment du message reçu. Des codes à usage unique et des notifications de réinitialisation de mot de passe que vous n’avez pas demandés peuvent signaler une tentative de prise de contrôle d’un compte. Si un paiement frauduleux a eu lieu, contactez la banque, conservez les preuves de la transaction et révoquez les sessions actives.

Utilisez un gestionnaire de mots de passe pour générer un mot de passe aléatoire et différent pour chaque service, afin qu’une tentative d’hameçonnage réussie ne puisse pas facilement affecter d’autres comptes. Utiliser des adresses e-mail distinctes selon les usages évite de relier les comptes de télécommunications, d’achats et de réseaux sociaux par une seule adresse. Mettez à jour les coordonnées et les informations de récupération dans vos anciens profils clients, et demandez la suppression ou l’anonymisation des comptes dont vous n’avez plus besoin. Remplacez le mot de passe d’administration par défaut du modem, maintenez le micrologiciel de l’appareil à jour et désactivez l’administration à distance, sauf si elle est réellement nécessaire. Les fournisseurs devraient restreindre l’accès aux données clients, réduire au minimum les durées de conservation et surveiller les exportations massives inhabituelles. Conservez les codes de récupération de l’authentification multifacteur hors ligne et laissez les alertes de compte activées. Une surveillance continue des fuites reste utile, car des collections anciennes peuvent être republiées ou fusionnées avec des fuites ultérieures, bien après la fin de la relation avec le fournisseur.

Vérifiez l’adresse e-mail utilisée pour IndiHome auprès d’un service fiable de recherche dans les fuites de données pour savoir si elle figure parmi les 12,6 millions d’adresses vérifiées. Un résultat positif ne signifie pas qu’un appareil est actuellement compromis ni qu’un mot de passe a nécessairement été exposé; il confirme que l’adresse figure dans la collection attribuée à l’incident et appelle à davantage de prudence face aux messages ciblés. L’absence de résultat n’est pas une garantie absolue : les 26,7 millions de lignes peuvent contenir des adresses répétées, certaines lignes peuvent ne comporter aucun champ e-mail, ou une autre adresse peut avoir été utilisée. Ne saisissez jamais le mot de passe de votre messagerie sur une page de vérification de fuite et ne fournissez que les informations nécessaires à la recherche. Considérez comme suspects les factures inattendues, les appels d’assistance, les demandes concernant un modem ou les messages contenant des détails exacts sur votre localisation et votre appareil. Vérifiez l’identité de l’expéditeur par un canal indépendant, examinez l’activité du compte et révoquez les sessions si quelque chose vous paraît inhabituel.