Fuite de données chez LimeVPN

Les utilisateurs de VPN s’attendent généralement à ce que leur vie privée soit protégée. Les conséquences de l’incident sont donc plus importantes lorsque l’adresse IP, l’adresse postale, l’historique d’achats et les informations du compte se trouvent réunis. Le hachage des mots de passe avec MD5 et un sel peut être considéré comme faible au regard des normes actuelles et présenter un risque pour d’autres comptes si le mot de passe est réutilisé.

Lorsque des champs tels que le nom, l’adresse e-mail, le numéro de téléphone, l’adresse, le nom d’utilisateur ou la localisation sont réunis, des attaquants peuvent contacter l’utilisateur en prétendant entretenir une véritable relation de service avec lui. Ces informations ne signifient pas toujours, à elles seules, qu’un compte a été piraté. Elles peuvent toutefois servir à des tentatives d’hameçonnage, à de fausses demandes d’assistance, à des vérifications de compte et à des scénarios de fraude personnalisés. La fiche ne répertorie pas de champ contenant les informations complètes d’une carte de paiement. L’historique d’achats et les coordonnées peuvent être utilisés dans de faux messages de renouvellement d’abonnement, de remboursement, d’alerte de sécurité ou de mise à jour des informations de paiement. L’association de l’adresse IP et de l’adresse postale accroît les enjeux de confidentialité.

L’incident est daté du 8 octobre 2020, et le nombre d’adresses e-mail concernées est de 23 348. Des sources fiables indiquent que les données clients de LimeVPN comprenaient des adresses e-mail, des adresses IP et postales, des noms, des numéros de téléphone, des historiques d’achats et des empreintes de mots de passe obtenues avec MD5 et un sel. Les catégories de données recensées concordent avec ce périmètre.

La description du périmètre ne prétend pas que l’intégralité du contenu du trafic VPN ou les journaux de connexion ont été divulgués. Ces données doivent être évaluées au regard des champs relatifs aux comptes clients, aux communications, aux achats et aux mots de passe.

Les utilisateurs à risque sont ceux qui possèdent un compte LimeVPN, ont acheté un abonnement et ont communiqué leurs coordonnées. Les personnes qui utilisent un service de protection de la vie privée peuvent être plus sensibles aux tentatives de chantage ciblé, aux fausses alertes de sécurité ou aux messages de renouvellement de compte.

La priorité doit être donnée aux personnes qui utilisent le même mot de passe sur d’autres comptes. Les utilisateurs dont l’adresse postale et la zone géographique associée à l’adresse IP figurent dans les données doivent se méfier des faux messages d’avertissement juridique, de facturation ou de menace pour la sécurité.

Les utilisateurs pour lesquels une correspondance est trouvée doivent changer leur mot de passe sur LimeVPN et sur tous les comptes où le même mot de passe est utilisé. Les notifications d’abonnement et de paiement doivent être vérifiées depuis l’interface officielle. Il ne faut pas ouvrir une alerte de sécurité suspecte en suivant le lien qu’elle contient.

Au lieu d’ouvrir directement les liens reçus, connectez-vous au service concerné en utilisant son adresse web habituelle ou son application officielle. Le fait qu’un interlocuteur au téléphone connaisse votre nom, votre adresse e-mail, votre adresse postale, votre commande ou les informations de votre profil ne prouve pas qu’il est digne de confiance. Ne communiquez jamais de codes de vérification à usage unique, d’informations de carte de paiement ou de mots de passe de compte lors d’un échange avec un service d’assistance.

À long terme, l’utilisation régulière d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs, ainsi que la suppression des informations personnelles inutiles dans les comptes, réduisent les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites. Vous pouvez envisager d’utiliser une adresse e-mail distincte ou un alias pour les comptes critiques.

Les adresses e-mail et les informations de paiement utilisées pour les VPN et les services de protection de la vie privée doivent être séparées autant que possible. L’utilisation d’un gestionnaire de mots de passe et de l’authentification à deux facteurs, ainsi que la fermeture régulière des comptes inutilisés et le tri des abonnements, réduisent les risques à long terme.

La vérification effectuée par LeakData indique si l’adresse e-mail recherchée figure dans ce jeu de données. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur. Il constitue toutefois un avertissement suffisant pour prendre des mesures de précaution. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas la présence de cette adresse dans d’autres fuites.

Un résultat positif est important au regard du risque de ciblage lié à un compte VPN et à la protection de la vie privée. Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données. Il convient également de vérifier cette même adresse e-mail pour d’autres services de protection de la vie privée ou d’hébergement.