Fuite de données chez Lexipol

Les types de données observés dans cette fiche sont les adresses e-mail, les noms, les numéros de téléphone, les noms d’utilisateur et les mots de passe. Selon l’évaluation réalisée, les mots de passe sont stockés dans des formats tels que MD5 ou SHA-256; les mots de passe faibles sont vulnérables aux attaques hors ligne. Ces champs ont été évalués individuellement. Aucune donnée non vérifiée concernant des cartes de paiement, des comptes bancaires, des pièces d’identité officielles, des messages privés, des dossiers médicaux ou des champs de profil supplémentaires n’a été ajoutée à la liste des catégories de données.

Les utilisateurs rattachés à des institutions de sécurité publique peuvent être ciblés par de fausses mises à jour de politiques, des invitations à des formations ou des messages de partage de documents. Une adresse e-mail seule présente déjà un risque de spam et d’hameçonnage. Lorsqu’elle est associée à un nom, un numéro de téléphone, une adresse, une adresse IP, une date de naissance ou des informations professionnelles, elle permet aux attaquants de rédiger plus facilement des messages personnalisés. L’évaluation des risques a donc tenu compte non seulement du nombre d’enregistrements, mais aussi de la manière dont les différents champs peuvent être exploités ensemble.

Le périmètre a été vérifié sur la base du décompte de 672 546 comptes daté de février 2025. Les champs de données vérifiés ont été conservés, tandis que les champs non confirmés ont été exclus. Les utilisateurs sont ainsi informés du contenu de cette fiche sans être alarmés de manière excessive, mais sans que le risque réel soit sous-estimé.

Les champs tels que l’adresse, la pièce d’identité officielle, les données de paiement ou les données de santé n’ont pas été ajoutés, car ils n’ont pas été vérifiés. L’incident a été conservé dans le contexte des données d’utilisateurs et des documents associés. Les éventuels autres incidents portant un nom similaire à celui de cette fiche n’ont pas été regroupés en un seul incident de grande ampleur. Le nom de domaine, le nom de l’entreprise et les informations sur le secteur ont été conservés dans le contexte exact le plus restreint possible. Cette approche évite également l’ajout de doublons ou de fuites associées à tort.

Les groupes à risque sont les membres du personnel de la sécurité publique, les représentants d’organismes et les utilisateurs des services de gestion des politiques disposant d’un compte dans les systèmes Lexipol. Si une correspondance est trouvée pour vos données, vous devez tenir compte non seulement de votre compte sur le service concerné, mais aussi des autres comptes sur lesquels vous utilisez la même adresse e-mail, le même nom d’utilisateur ou le même schéma de mot de passe.

Les numéros de téléphone et les noms d’utilisateur peuvent rendre plus crédibles des messages ciblés qui semblent provenir de l’assistance interne ou se présenter comme des notifications de sécurité. Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut dépasser le cadre d’un compte personnel. Les attaquants peuvent envoyer des messages plus convaincants en utilisant des informations telles que le nom, la fonction, le numéro de téléphone, l’adresse, un achat, un identifiant de jeu ou des détails du profil professionnel. Vous ne devez donc pas considérer une correspondance comme un problème limité à un seul site.

Si vous êtes concerné, vous devez changer vos mots de passe. Les administrateurs des organisations doivent mettre en place la fermeture des sessions, la réinitialisation obligatoire des mots de passe et la vérification en deux étapes. Pour les enregistrements comportant un champ de mot de passe, il faut modifier le mot de passe de tous les comptes qui utilisent le même. Pour ceux qui ne comportent pas ce champ, l’attention doit porter sur les risques liés aux e-mails, aux appels téléphoniques et aux notifications d’hameçonnage. Dans les deux cas, le compte de messagerie doit être protégé par un mot de passe fort et unique.

Au lieu de cliquer sur les liens contenus dans un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Ne donnez pas suite à des messages tels que des codes de vérification reçus par téléphone, des demandes de réinitialisation de mot de passe ou des notifications de livraison, d’offre d’emploi, d’assistance, d’abonnement ou de sécurité sans les avoir vérifiés par un canal indépendant.

Dans les services de sécurité publique, les accès fondés sur les rôles, l’authentification multifacteur et les examens réguliers des accès aux comptes doivent être obligatoires. Un nettoyage régulier doit porter sur les anciens comptes, les champs de téléphone et d’adresse inutilisés, les noms d’utilisateur réutilisés et les schémas de mots de passe identiques. Vous devez utiliser un mot de passe unique pour chaque service et activer la vérification en deux étapes partout où elle est disponible.

Pour les prestataires de services, limiter la conservation des données au strict nécessaire, protéger efficacement les mots de passe, surveiller les journaux d’accès, supprimer les champs de profil inutiles et informer les utilisateurs après une fuite constituent des exigences fondamentales. Dans les secteurs sensibles, la sécurité des systèmes tiers influe directement sur la relation de confiance opérationnelle. Lors de tels incidents, une communication précise sur le périmètre est aussi importante que les mesures correctives techniques. Des informations exagérées ou incomplètes peuvent conduire les utilisateurs à prendre des mesures inadaptées.

Commencez par vérifier si votre adresse e-mail figure dans cette fiche. Si une correspondance est trouvée, privilégiez une vérification supplémentaire lors des changements de mot de passe, du contrôle des sessions et des demandes d’assistance reçues par téléphone. L’absence de correspondance n’exclut pas totalement la réutilisation d’anciens mots de passe ou l’utilisation d’autres adresses e-mail associées au même service. Vous devez donc examiner séparément vos comptes critiques.

Cette fiche a été vérifiée et son statut de données sensibles a été maintenu. Le secteur et les étiquettes ont été alignés sur le contexte de la sécurité publique. Dans cette présentation, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible par les utilisateurs a été rédigée en turc dans une formulation originale, aucun champ non vérifié n’a été ajouté et le marqueur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.