Fuite de données chez LiveAuctioneers

Les champs de données concernés par cette fuite peuvent, dans leur ensemble, dresser le profil d'identité et de contact d'un compte d'enchères. L'adresse e-mail et le nom d'utilisateur sont les principaux points d'entrée pour les tentatives d'accès au compte et les messages d'hameçonnage. Le nom complet, le numéro de téléphone et l'adresse postale peuvent rendre plus convaincantes les tentatives de fraude prenant la forme de fausses notifications d'expédition, de fausses factures, de faux rappels de paiement, d'alertes de sécurité des comptes ou d'offres d'objets de collection de grande valeur. Les adresses IP ajoutent également un risque en fournissant des indications sur l'activité du compte et sa localisation approximative.

Le fait que les données de mots de passe soient protégées par des empreintes MD5 non salées augmente le niveau de risque. MD5 est considéré comme peu sûr pour le stockage moderne des mots de passe; les mots de passe courts, prévisibles ou déjà présents dans d'autres fuites peuvent notamment être retrouvés rapidement par cassage. Si le même mot de passe est réutilisé pour des comptes de messagerie, de paiement, de réseaux sociaux, de places de marché ou d'autres sites d'enchères, un seul incident de données peut avoir des répercussions sur plusieurs comptes. Des champs comme l'adresse postale et le numéro de téléphone peuvent aussi servir à des fraudes hors ligne, à de faux appels de livraison et à des menaces personnalisées.

Le périmètre vérifié de cette fiche repose sur l'incident du 19 juin 2020 et sur environ 3 385 862 comptes. L'avis de LiveAuctioneers indique qu'un tiers non autorisé a accédé à certaines données de comptes utilisateurs par l'intermédiaire d'un partenaire chargé du traitement des données. Les principales catégories de données à conserver dans cette fiche sont les adresses e-mail, les adresses IP, les noms, les mots de passe, les numéros de téléphone, les adresses postales et les noms d'utilisateur. Tous ces champs ne sont pas nécessairement présents dans chaque compte utilisateur; la description ne doit donc pas supposer que tous les utilisateurs ont été touchés pour chacun de ces champs.

Une limite importante de cet incident concerne les paiements et l'historique des enchères. La notification de l'entreprise indiquait qu'aucun élément ne permettait de conclure à un accès aux numéros complets de cartes de paiement et que l'historique des enchères n'était pas considéré comme affecté. Cette fiche doit donc être conservée sans y ajouter de catégorie pour les numéros de carte ou l'historique des enchères. L'origine de l'incident doit être considérée comme une vulnérabilité de sécurité chez le prestataire, et non comme un problème touchant directement le déroulement des enchères sur le service. Cette distinction permet de situer correctement le risque sans susciter d'inquiétude inutile chez l'utilisateur.

Le risque le plus élevé concerne les personnes qui réutilisent le mot de passe de leur compte LiveAuctioneers sur d'autres services. Des tentatives automatisées d'accès aux comptes sont notamment à prévoir si la même combinaison d'adresse e-mail et de mot de passe est également utilisée pour des comptes de messagerie, des services de paiement non bancaires, des réseaux sociaux, d'autres places de marché, des comptes de services d'expédition ou des sites d'enchères. Les utilisateurs qui achètent des objets de collection, des antiquités, des bijoux ou des œuvres d'art peuvent aussi devenir des cibles plus intéressantes pour des fraudes ciblées, car leur nom, leur numéro de téléphone, leur adresse et leur intérêt pour la plateforme peuvent être exploités conjointement.

Les utilisateurs dont l'adresse postale et le numéro de téléphone figurent dans les données doivent se méfier non seulement des menaces en ligne, mais aussi des fausses demandes reçues par téléphone et par courrier. Les attaquants peuvent prétendre détenir un compte d'enchères légitime et contacter les utilisateurs sous prétexte de confirmer un paiement, de réclamer des frais d'expédition ou de douane, ou de vérifier un compte. Des informations supplémentaires, comme l'adresse IP et le nom d'utilisateur, peuvent aider à personnaliser l'attaque. Les personnes qui n'utilisent plus leurs anciens comptes sont également à risque, car leurs anciens mots de passe peuvent rester en usage sur d'autres comptes pendant des années.

Si votre adresse e-mail figure dans cette fiche, commencez par comparer l'ancien mot de passe de votre compte LiveAuctioneers à ceux de vos autres comptes. Si vous utilisez ailleurs un mot de passe identique ou similaire, définissez un nouveau mot de passe long et unique pour chaque compte. Donnez la priorité aux comptes de messagerie, aux services de paiement, aux places de marché, aux réseaux sociaux et aux comptes de services d'expédition. Un gestionnaire de mots de passe facilite le repérage des mots de passe réutilisés et la création de mots de passe robustes pour chaque compte.

Sur votre compte LiveAuctioneers, vérifiez l'historique des sessions, les adresses enregistrées, les numéros de téléphone et les informations de récupération du compte. Activez l'authentification à deux facteurs sur les comptes qui la prennent en charge, mettez fin aux sessions ouvertes sur des appareils inconnus et ne cliquez pas sur les liens suspects reçus par e-mail ou SMS. Examinez attentivement les messages concernant les enchères, la livraison, le paiement, l'expédition, la sécurité des comptes ou des offres spéciales. Même si les numéros complets de cartes ne font pas partie des catégories de données vérifiées de cette fiche, surveillez vos relevés de paiement et les opérations sur vos comptes afin de repérer toute activité inhabituelle.

Cet incident montre que les comptes de sites d'enchères et de places de marché ont de la valeur non seulement pour leur historique d'achats, mais aussi pour les informations d'identité et les coordonnées qu'ils contiennent. À long terme, les protections de base sont un mot de passe unique pour chaque service, l'authentification à deux facteurs, la vérification régulière des sessions et la fermeture des comptes inutiles. Les utilisateurs devraient limiter le nombre d'adresses et de numéros de téléphone enregistrés dans leurs anciens comptes d'enchères, fermer les comptes qu'ils n'utilisent plus et éviter de réutiliser le même nom d'utilisateur sur différents services lorsque cela crée des liens inutiles entre eux.

Du côté du fournisseur de services, la limitation des accès des prestataires, des algorithmes robustes de hachage des mots de passe, la surveillance des événements, des audits de sécurité réguliers et une notification rapide des utilisateurs sont essentiels. Du côté des utilisateurs, le risque ne disparaît pas avec le changement du mot de passe d'un seul compte : lorsque l'adresse e-mail, le numéro de téléphone, l'adresse postale et le nom d'utilisateur sont exploités conjointement, la menace d'ingénierie sociale peut persister longtemps. Les utilisateurs devraient donc vérifier régulièrement la sécurité des comptes et garder à l'esprit que d'anciennes fuites de données peuvent être réutilisées dans de nouveaux messages frauduleux.

Si LeakData affiche un résultat positif pour LiveAuctioneers, cette fiche correspond à l'incident du 19 juin 2020 touchant les données de compte par l'intermédiaire du partenaire chargé du traitement des données. La première étape consiste à identifier l'adresse e-mail concernée et l'ancien mot de passe utilisé sur le compte LiveAuctioneers. Dressez ensuite la liste de tous les comptes sur lesquels le même mot de passe a pu être utilisé, définissez un nouveau mot de passe unique pour chacun et activez l'authentification à deux facteurs partout où cela est possible. Préférez des mots de passe entièrement différents plutôt que de légères modifications des anciens.

Lors de la vérification suivante, concentrez-vous sur les tentatives de fraude ciblées qui peuvent exploiter votre numéro de téléphone, votre adresse et votre nom complet. Pour vérifier de faux messages d'assistance, de faux résultats d'enchères, des demandes de finalisation de paiement, des frais de livraison ou des notifications de sécurité des comptes, rendez-vous directement sur le site officiel. Pour cette fiche, les catégories de données vérifiées sont les adresses e-mail, les adresses IP, les noms, les mots de passe, les numéros de téléphone, les adresses postales et les noms d'utilisateur; les numéros de cartes de paiement et l'historique des enchères ne doivent pas y être ajoutés.