Fuite de données chez LandAirSea

Les catégories de données étayées par les éléments disponibles sont les informations sur les appareils, les adresses e-mail, les informations de localisation géographique, les noms, les données partielles de cartes de paiement, les mots de passe, les adresses physiques et les noms d’utilisateur. Des données partielles de carte ne correspondent pas au numéro complet de la carte; toutefois, le type de carte, ses derniers chiffres ou les informations d’expiration peuvent rendre crédibles de faux messages de paiement. Les identifiants d’appareils GPS et les informations de localisation peuvent permettre de relier un utilisateur à un véhicule ou à un dispositif de suivi. Les empreintes de mots de passe peuvent constituer un risque supplémentaire pour les comptes en cas de réutilisation de ces mots de passe.

L’enregistrement LandAirSea a le statut vérifié, et les données qu’il contient sont plus sensibles que celles des fuites habituelles dans le commerce en ligne. Il ne faut toutefois pas supposer que tous les champs sont présents pour chaque utilisateur. Les données partielles de cartes de paiement ne doivent pas être présentées comme des données financières complètes, et les informations de localisation ne doivent pas être présentées comme des données de suivi continu en temps réel. Cependant, lorsque les informations sur un appareil GPS, l’adresse physique et le compte utilisateur sont combinés, les conséquences pour la sécurité des personnes sont importantes. L’enregistrement a donc été classé comme sensible. Les mesures prises par les utilisateurs doivent porter à la fois sur les mots de passe et sur la vigilance en matière de sécurité physique.

Les clients de LandAirSea, les personnes utilisant des dispositifs de suivi de véhicules, les utilisateurs gérant des dispositifs de suivi d’une flotte ou de leur famille, ainsi que les personnes utilisant la même adresse e-mail pour des paiements ou des services liés aux véhicules sont exposés à ces risques. Les informations relatives à l’adresse physique et à la localisation peuvent rendre crédibles de faux messages de mise à jour d’appareil, de renouvellement d’abonnement, d’alerte de paiement ou de sécurité du véhicule. Pour les gestionnaires de flotte et les entreprises, le risque n’est pas seulement personnel, mais aussi opérationnel; l’infrastructure de suivi peut être ciblée à partir des identifiants des appareils et des comptes utilisateurs.

Les utilisateurs dont les données correspondent à l’enregistrement LandAirSea doivent changer le mot de passe de leur compte ainsi que celui de tous les comptes utilisant le même mot de passe. Si la validation en deux étapes est disponible pour le compte de messagerie et le compte LandAirSea, elle doit être activée. Les noms des appareils, les autorisations de partage des appareils, les utilisateurs du compte, les informations de paiement et les paramètres de l’historique de localisation doivent être vérifiés. Les messages se présentant comme des notifications de mise à jour d’appareil, de renouvellement d’abonnement, d’échec de paiement ou de connexion GPS ne doivent pas être ouverts en dehors des canaux officiels. Toutes les autorisations des utilisateurs des comptes de flotte doivent être réexaminées.

La sécurité des comptes doit être nettement renforcée pour les services liés au suivi GPS et à la sécurité physique. Chaque appareil et chaque compte administrateur doivent bénéficier de mots de passe uniques, d’un accès fondé sur les rôles et de vérifications régulières des autorisations. Si l’adresse physique et les informations de localisation ont été exposées, elles ne doivent plus être considérées comme confidentielles. Des audits réguliers doivent permettre de déterminer qui dispose de droits d’accès aux appareils d’une flotte ou d’une famille. Les informations partielles de carte peuvent servir à créer de faux messages de paiement : il faut s’attendre à en recevoir et effectuer les paiements uniquement par des canaux officiels connus.

Si la surveillance assurée par LeakData révèle une correspondance avec l’enregistrement LandAirSea, l’utilisateur doit y voir un risque concernant les données de suivi GPS de haute précision, les données de compte et les données partielles de paiement. Cette correspondance ne signifie pas qu’un numéro complet de carte ou un historique de suivi continu en temps réel est présent; toutefois, les données relatives aux appareils, à la localisation, aux adresses et aux comptes constituent ensemble un risque sérieux. Les utilisateurs doivent changer leurs mots de passe, vérifier les accès aux appareils, vérifier les messages de paiement et de mise à jour des appareils, et ne pas négliger la sécurité physique. Si les utilisateurs associent des appareils à des membres de leur famille, à des employés ou à une flotte de véhicules, ils doivent examiner non seulement leur propre compte, mais aussi tous les utilisateurs pouvant accéder à ces appareils et les autorisations de partage. Dans le contexte du GPS, une petite erreur au niveau d’un compte peut avoir des conséquences sur la sécurité physique et opérationnelle.