Fuite de données chez Lead Hunter

Ce jeu de données réunit des adresses e-mail, des numéros de téléphone, des adresses postales, des noms, des informations sur le genre et des adresses IP. Cette combinaison permet aux attaquants de mettre plus facilement en place de faux appels commerciaux, des fraudes publicitaires ciblées, des messages proposant des emplois, des prises de contact sous prétexte d’une dette ou d’une livraison, ainsi que des e-mails d’hameçonnage. Une adresse IP ne constitue pas, à elle seule, une preuve concluante de localisation; toutefois, associée à d’autres champs de profil, elle peut fournir des éléments supplémentaires sur la région d’une personne ou ses activités antérieures en ligne. L’absence de mots de passe réduit le risque de prise de contrôle d’un compte, mais les coordonnées et les adresses entretiennent le risque d’ingénierie sociale. En particulier, même d’anciens numéros de téléphone ou d’anciennes adresses peuvent rendre un scénario de fraude plus convaincant.

La date de la fuite est confirmée au 4 mars 2020, et celle de son inscription au catalogue au 3 juin 2020. La fiche couvre environ 69 millions d’adresses e-mail uniques et un ensemble plus large de données de profils dépassant 110 millions de lignes. Puisque l’organisation responsable des données ne peut pas être déterminée avec certitude, l’incident ne doit pas être présenté comme une intrusion dans le système d’une entreprise précise. Pour réduire le risque d’attribution erronée, les champs relatifs au site web, au nom de domaine et au pays ne sont pas renseignés au nom d’une marque. Les catégories de données vérifiées comprennent uniquement les champs d’adresse e-mail, de genre, d’adresse IP, de nom, de téléphone et d’adresse postale. Les champs de mot de passe, de carte de paiement, de numéro de sécurité sociale ou de document d’identité ne font pas partie du périmètre vérifié de cette fiche de recherche.

Le risque est le plus élevé pour les personnes dont les informations ont été retrouvées dans d’anciennes listes marketing, des enregistrements de noms de domaine, des annuaires professionnels ou des répertoires de profils accessibles au public. Les personnes qui utilisent leur adresse e-mail professionnelle avec leur numéro de téléphone et leur adresse postale peuvent être ciblées par de fausses offres B2B, des appels commerciaux, des demandes de règlement de factures ou des messages de renouvellement de services liés à un nom de domaine. Pour les personnes dont l’adresse personnelle et le numéro de téléphone figurent dans les données, les faux messages de livraison ou de renouvellement d’abonnement, les fausses offres de services de proximité et les appels prétendant provenir d’une banque peuvent paraître plus convaincants. La présence d’une personne dans cette liste n’indique pas que le mot de passe de son compte a été compromis; elle montre toutefois que ses coordonnées peuvent être rapprochées de différentes sources et utilisées pour des prises de contact ciblées. Les noms de domaine d’entreprise présentent le même risque.

Si une correspondance est trouvée, soyez particulièrement vigilant face aux messages reçus concernant des ventes, des offres, des livraisons, des factures, des renouvellements de noms de domaine ou la vérification de comptes. Lors d’appels téléphoniques inattendus, ne communiquez pas d’informations d’identité ou de paiement, de codes de vérification ni d’informations sur vos comptes. Dans ce cas, il n’y a pas lieu de paniquer, car les mots de passe ne font pas partie des catégories de données vérifiées; néanmoins, pour les comptes sensibles utilisant la même adresse e-mail, privilégiez toujours des mots de passe uniques et l’authentification multifacteur. Vérifiez également les faux messages de livraison ou de services de proximité qui contiennent une adresse postale. Face à un message suspect, plutôt que de cliquer sur le lien, saisissez vous-même l’adresse officielle de l’organisme ou du service et vérifiez la demande par un autre canal.

Le risque durable des fuites de données marketing et de profils est que ces données peuvent circuler pendant des années dans des listes utilisées à des fins frauduleuses. Passez régulièrement en revue vos anciens profils professionnels, vos enregistrements de noms de domaine, les annuaires ouverts au public et vos adhésions inutilisées. Dans la mesure du possible, limitez les informations non nécessaires sur vos numéros de téléphone, vos adresses et vos intitulés de poste, et utilisez des adresses e-mail distinctes pour vos usages personnels et professionnels. Les organisations doivent appliquer le principe de minimisation des données lorsqu’elles publient les adresses e-mail, les numéros de poste téléphonique et les adresses de leurs employés, limiter les champs partagés avec des prestataires marketing externes et assurer un contrôle clair de l’utilisation de jeux de données externes. Cette approche réduit les conséquences d’une éventuelle fuite similaire de données de profils.

En recherchant votre adresse e-mail sur LeakData, vous pouvez vérifier si une correspondance existe avec la fuite de données Lead Hunter. Si une correspondance est trouvée, considérez-la comme un risque pour vos données de profil personnel et vos coordonnées, plutôt que comme une fuite de mots de passe. Le fait qu’un appel ou un message reçu vous demande votre ancienne adresse, votre numéro de téléphone ou des informations professionnelles ne prouve pas que la demande est légitime. Pour sécuriser votre compte, protégez votre messagerie avec un mot de passe robuste et l’authentification multifacteur, consultez l’historique des sessions sur les services importants et évitez les liens inattendus. Si votre compte professionnel semble concerné, signalez-le à l’équipe de sécurité. Ces mesures réduisent la probabilité que les données de profils exposées publiquement soient utilisées pour de l’hameçonnage ciblé et de l’ingénierie sociale.