Fuite de données chez Life360

Les types de données observés dans cette fiche sont les adresses e-mail, les noms et les numéros de téléphone. Le champ de mot de passe n’a pas été vérifié. Les principaux risques sont les faux signalements de compte, les invitations frauduleuses à des groupes familiaux et l’ingénierie sociale par téléphone. Ces champs ont été évalués individuellement. Aucun champ non vérifié relatif aux cartes de paiement, aux comptes bancaires, aux pièces d’identité officielles, aux messages privés, aux dossiers médicaux ou à d’autres informations de profil n’a été ajouté à la liste des catégories de données.

La marque Life360 étant connue pour le partage de localisation, les utilisateurs peuvent être plus enclins à croire des messages évoquant de faux appareils, des cercles familiaux ou des alertes de sécurité. Une adresse e-mail seule présente déjà un risque de spam et d’hameçonnage. Associée à un nom, un numéro de téléphone, une adresse, une adresse IP, une date de naissance ou des informations professionnelles, elle facilite la préparation d’un message plus personnalisé par un attaquant. L’évaluation des risques a donc tenu compte non seulement du nombre d’enregistrements, mais aussi de la possibilité d’exploiter ces champs ensemble.

Le périmètre confirmé pour mars 2024 couvre environ 442 519 adresses e-mail uniques. Les champs de données vérifiés ont été conservés, tandis que les champs non confirmés ont été exclus. L’utilisateur est ainsi informé sur cette fiche sans être alarmé de manière excessive, mais sans que le risque réel soit sous-estimé.

La présence d’un historique de localisation ou d’informations sur les membres de la famille n’ayant pas été vérifiée dans cette fiche, ces champs n’ont pas été inclus dans la description. D’autres incidents éventuellement désignés par un nom similaire n’ont pas été regroupés avec celui-ci pour former un seul incident de grande ampleur. Le nom de domaine, le nom de l’entreprise et les informations sur le secteur d’activité ont été conservés dans le contexte exact le plus restreint possible. Cela évite d’ajouter des fuites en double ou de les associer à tort.

Les personnes à risque sont celles qui possèdent un compte Life360 ou dont les coordonnées sont associées au service. Si vos données correspondent à celles de cette fiche, vous devez prendre en compte non seulement votre compte sur ce service, mais aussi les autres comptes sur lesquels vous utilisez la même adresse e-mail, le même nom d’utilisateur ou des mots de passe construits selon le même schéma.

Les parents et les personnes qui gèrent un compte familial peuvent être davantage exposés à l’ingénierie sociale par le biais de fausses vérifications d’appareils et de messages concernant des groupes familiaux. Si vous avez utilisé une adresse e-mail professionnelle pour vous inscrire, le risque peut dépasser votre compte individuel. Les attaquants peuvent rendre leurs messages plus convaincants en exploitant des informations comme le nom, la fonction, le numéro de téléphone, l’adresse, les achats, l’identifiant de jeu ou le profil professionnel. Vous ne devez donc pas considérer une correspondance comme un problème limité à un seul site.

Si vous êtes concerné, connectez-vous à votre compte Life360 directement depuis l’application ou à l’adresse connue du site web, puis vérifiez vos paramètres de communication et de sécurité. Pour les comptes associés à un champ de mot de passe, mettez à jour tous les comptes utilisant le même mot de passe. Pour les comptes sans champ de mot de passe, concentrez-vous sur les risques liés à l’e-mail, au téléphone et aux fausses notifications. Dans les deux cas, protégez votre compte de messagerie avec un mot de passe fort et unique.

Au lieu de cliquer sur les liens d’un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Ne considérez pas comme légitimes les messages contenant des codes de vérification reçus par téléphone, les demandes de réinitialisation de mot de passe, les messages relatifs à une livraison, à une offre d’emploi, à l’assistance ou à un abonnement, ni les notifications de sécurité, sans les vérifier par un canal indépendant.

Dans le cadre de la sécurité familiale, supprimez les anciens numéros de téléphone, protégez les adresses e-mail de récupération des comptes et informez les membres de votre famille qu’ils ne doivent pas partager leurs codes de vérification. Un nettoyage régulier doit porter sur les anciens comptes, les numéros de téléphone et les champs d’adresse inutilisés, les noms d’utilisateur récurrents et les mots de passe construits selon un même schéma. Utilisez un mot de passe unique pour chaque service et activez l’authentification à deux facteurs partout où cela est possible.

Pour les fournisseurs de services, la conservation d’un minimum de données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs de profil inutiles et l’information des utilisateurs après une fuite sont des exigences fondamentales. Dans les applications proposant des services de localisation, même les données de communication représentent un enjeu de sécurité important. Dans ces situations, communiquer avec précision sur le périmètre est aussi important que d’apporter les corrections techniques nécessaires. Des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

Commencez par vérifier si votre adresse e-mail correspond à celle d’un enregistrement de cette fiche. Si une correspondance est trouvée, considérez que certains enregistrements peuvent aussi contenir un nom et un numéro de téléphone, et vérifiez également les messages relatifs à la sécurité de votre famille et de vos appareils. L’absence de correspondance n’exclut pas totalement la réutilisation d’anciens mots de passe ou l’utilisation d’autres adresses e-mail associées au même service. Vos comptes critiques doivent donc être examinés séparément.

Cette fiche a conservé son statut vérifié. Toutefois, l’indicateur de sensibilité est resté désactivé, car les champs vérifiés ne contenaient ni données de localisation ni mots de passe. Dans cette configuration, les champs de données ont conservé leurs catégories canoniques en anglais, la description visible par l’utilisateur a été rédigée en turc sous la forme d’un texte original, les champs non vérifiés ont été exclus et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.