Fuite de données chez LBB

Les catégories de données vérifiées sont les informations user-agent des navigateurs, les adresses e-mail, les adresses IP, les noms et les adresses postales. Ces champs ne permettent pas, à eux seuls, d’accéder à des comptes financiers; toutefois, associés au contexte d’une plateforme de shopping et de mode de vie, ils renforcent les tentatives de persuasion personnalisées. Un attaquant peut utiliser une adresse e-mail et un nom pour envoyer à l’utilisateur des messages qui semblent provenir d’une véritable marque, s’appuyer sur une adresse postale pour inventer un prétexte de livraison ou d’invitation à un événement, et utiliser les informations IP et celles du navigateur pour rendre les détails techniques du message plus convaincants.

• Adresses e-mail : Elles peuvent servir à envoyer de fausses campagnes promotionnelles, de faux coupons, des alertes de compte et des messages de collaboration avec une marque.
• Noms : Ils permettent de personnaliser les messages et sont utiles à l’ingénierie sociale visant à renforcer la confiance de l’utilisateur.
• Adresses postales : Elles peuvent être utilisées abusivement sous prétexte d’une livraison, d’un retour, d’une inscription à un événement ou d’une facturation.
• Adresses IP : Elles peuvent donner une indication de la localisation approximative et du fournisseur d’accès à Internet, et renforcer les formulations géographiquement ciblées des escrocs.
• Informations user-agent des navigateurs : En donnant une indication de l’appareil, du navigateur et du système d’exploitation, elles peuvent rendre plus convaincants de faux scénarios d’assistance technique ou de notification de sécurité.

Le périmètre vérifié doit rester celui de l’incident LBB daté du 14 février 2019 et des 39 288 comptes de messagerie uniques. Les sources indiquent que les données ont été partagées sur un forum au cours du mois d’août 2022, que les données les plus récentes remontent au début de 2019 et que l’ensemble contient plus de 3 millions de lignes. Ce nombre de lignes ne correspond pas au nombre de personnes ou d’adresses e-mail distinctes. Le champ indiquant le nombre d’enregistrements conserve donc une mesure fiable fondée sur les comptes uniques; la description mentionne séparément le volume plus important de lignes pour préciser le périmètre.

Selon l’évaluation rapportée par LBB, les données auraient été exposées par l’intermédiaire d’un service tiers, et des données supplémentaires auraient été mêlées à certains des champs que LBB conserve sur ses clients. Cette distinction est importante : il ne faut pas laisser entendre que tous les champs provenaient directement du compte LBB. Par ailleurs, les mots de passe, empreintes de mots de passe, numéros de téléphone, cartes de paiement, CVV, comptes bancaires, données d’identité officielle, passeports et données de santé ne figurent pas parmi les catégories de données vérifiées dans cette fiche. Le risque pour les utilisateurs doit être décrit comme limité aux effets de l’hameçonnage et du ciblage rendus possibles par les informations de profil et les coordonnées.

Les utilisateurs les plus exposés sont ceux qui renseignent des informations de compte ou des coordonnées sur LBB pour leurs achats, la découverte de marques, les guides de villes, les événements, les promotions ou les recommandations de produits. Ils peuvent être ciblés par de faux messages de réduction, de concours, d’offre de marque, de livraison ou de vérification de compte. La présence d’une adresse postale dans les données permet à l’escroc de relier le message à la ville ou aux informations de livraison de l’utilisateur. Cela rend l’attaque plus convaincante qu’un simple message indésirable.

Les utilisateurs dont les adresses IP et les informations user-agent des navigateurs ont été divulguées sont également exposés à des tentatives d’hameçonnage axées sur l’assistance technique ou la sécurité des appareils. Par exemple, un message qui s’adresse à l’utilisateur en citant des informations précises sur son navigateur ou son appareil peut ressembler à une alerte de sécurité légitime. Comme cette fiche ne contient pas de mot de passe, le risque direct de prise de contrôle d’un compte est plus limité que dans les incidents impliquant une fuite de mots de passe. Néanmoins, si l’adresse e-mail est rapprochée de mots de passe issus d’autres fuites, les attaquants peuvent combiner des données provenant de différentes sources.

Si votre adresse e-mail apparaît dans les données de cette fiche LBB, commencez par rechercher les communications suspectes, les liens promotionnels inconnus, les notifications de livraison inattendues et les demandes de vérification d’adresse concernant LBB et les comptes de shopping associés. Le mot de passe ne fait pas partie des champs de données vérifiés pour cet incident; vous devriez néanmoins utiliser des mots de passe robustes et uniques ainsi que l’authentification multifacteur sur les comptes importants où vous utilisez la même adresse e-mail. Le risque peut en effet augmenter si cette adresse est rapprochée d’autres jeux de données.

1. Évitez les liens suspects : Vérifiez les messages contenant des coupons, des remboursements ou des alertes concernant une expédition, un événement ou un compte en vous rendant vous-même sur le site officiel.
2. Vérifiez les demandes liées à votre adresse : Méfiez-vous des messages qui vous demandent à nouveau votre adresse postale, réclament des frais de livraison ou demandent une vérification de paiement.
3. Renforcez la sécurité de votre messagerie : Utilisez un mot de passe unique et l’authentification multifacteur pour votre compte de messagerie; vérifiez les adresses de récupération.
4. Ne faites pas confiance aux messages qui citent des informations sur votre appareil : Le fait qu’un message connaisse votre navigateur ou votre système d’exploitation ne suffit pas à le rendre fiable.
5. Renforcez les filtres contre les messages indésirables et l’hameçonnage : Signalez les expéditeurs inconnus, les liens raccourcis et les messages qui vous poussent à agir dans l’urgence.

Pour vous protéger à long terme, il est nécessaire de limiter le partage de données personnelles superflues sur les plateformes de shopping et de mode de vie. Fermer les comptes inutilisés, maintenir à jour les adresses enregistrées tout en limitant leur nombre, revoir les autorisations relatives aux campagnes promotionnelles et utiliser une adresse e-mail masquée réduisent les possibilités de ciblage. En particulier, lorsque l’adresse postale et l’adresse e-mail figurent dans le même profil, une fuite de données peut conserver un intérêt pour l’ingénierie sociale, même des années plus tard.

Les utilisateurs de services consacrés à la découverte de marques, à la mode, à la maison, à la beauté et aux guides de villes reçoivent fréquemment des messages promotionnels, des invitations et des recommandations. Ce flux habituel de communications constitue un avantage pour les attaquants. Il faut donc vérifier, pour chaque message, le style de communication de la marque, le domaine de l’expéditeur, la destination des liens et les demandes de paiement. Du côté des entreprises, les champs de données clients partagés avec des services tiers doivent être régulièrement inventoriés, les jeux de données enrichis doivent faire l’objet d’un suivi en tant que risques distincts, et les champs superflus doivent être durablement réduits.

Une correspondance dans cette fiche signifie que votre adresse e-mail associée à LBB est présente dans le jeu de données vérifié. Elle ne signifie pas que votre mot de passe ou votre carte de paiement a été divulgué lors de cet incident. Les champs vérifiés se limitent à l’adresse e-mail, au nom, à l’adresse postale, à l’adresse IP et aux informations user-agent du navigateur. Il convient néanmoins de rester vigilant face aux fausses campagnes promotionnelles, aux fausses livraisons, aux communications usurpant des marques et aux tentatives d’hameçonnage personnalisées.

Après cette vérification, la démarche la plus appropriée consiste à renforcer la sécurité de votre compte de messagerie, à revoir les adresses enregistrées sur LBB et les services de shopping similaires, à éviter d’ouvrir les messages suspects et à ne transmettre ni paiement ni informations par des liens non officiels. Si vous utilisez la même adresse e-mail pour de nombreux services, rappelez-vous que des informations issues de différentes fuites peuvent être combinées. Même lorsqu’un incident isolé ne comprend pas de mot de passe, la sécurité des comptes, les bonnes pratiques de messagerie et la minimisation des données personnelles doivent donc être abordées ensemble.