Fuite de données chez MalindoAir

Les types de données confirmés dans la fuite de MalindoAir permettent de constituer un profil de passager. Les adresses e-mail servent de points d’entrée pour des messages d’hameçonnage ciblés; le nom, la civilité et le genre rendent ces messages plus crédibles. Les numéros de téléphone peuvent être utilisés pour envoyer de fausses alertes de réservation par SMS, des notifications frauduleuses de remboursement ou des avis concernant des billets non réclamés. Les adresses postales et les dates de naissance peuvent faciliter la déduction des réponses aux questions de vérification d’identité.

Les numéros de passeport et les nationalités constituent les informations les plus sensibles de cette fiche. Ces champs ne suffisent pas nécessairement, à eux seuls, à faire délivrer un nouveau document dans un pays donné, mais ils peuvent être utilisés pour usurper une identité, rechercher frauduleusement une assistance liée aux voyages, mener des escroqueries liées aux services de conseil en matière de visas ou tenter de récupérer un compte. Les informations sur le programme de fidélité aident également les fraudeurs à personnaliser leurs messages, car elles renseignent sur la relation du passager avec la compagnie aérienne et sur ses habitudes de voyage possibles. Les mots de passe ne figurant pas parmi les champs vérifiés, le risque porte davantage sur l’utilisation abusive des données d’identité et de voyage que sur une fuite de mots de passe.

Le périmètre vérifié comprend 4 328 232 adresses e-mail uniques, la date de la fuite du 1er mars 2019 et des champs de données personnelles issus des dossiers clients de la compagnie aérienne. La fiche contient des dates de naissance, des adresses e-mail, le genre, des informations sur le programme de fidélité, des noms, des nationalités, des numéros de passeport, des numéros de téléphone, des adresses postales et des civilités. La date d’ajout recensée est le 14 septembre 2023; elle ne correspond pas à la date de l’incident, mais à celle de sa vérification et de son ajout à la liste des fiches. Cette distinction permet d’éviter que les utilisateurs ne confondent l’année 2023, ou une autre date de publication, avec la date de la fuite.

Pour cette fiche, les données de carte de paiement, de compte bancaire, de mot de passe, de montant payé pour un billet ou de santé ne sont pas considérées comme des champs vérifiés. Dans ses déclarations, l’entreprise a souligné que les informations de paiement ne sont pas stockées sur les serveurs. Néanmoins, l’association de l’adresse postale, du numéro de téléphone, de la date de naissance et du numéro de passeport peut présenter un risque lors des procédures de vérification d’identité. L’évaluation doit donc se limiter aux champs de données vérifiés; les affirmations non confirmées concernant des données financières ou des mots de passe ne doivent pas être présentées aux utilisateurs comme des faits avérés.

Les personnes les plus exposées sont celles qui ont voyagé avec Malindo Air, créé un compte pour le programme de fidélité ou utilisé les mêmes adresse e-mail et numéro de téléphone pour d’autres services de voyage. Les voyageurs fréquents sont plus susceptibles d’utiliser leur passeport, leur nationalité et leurs coordonnées dans de multiples transactions. Ils peuvent ainsi devenir des cibles pour de fausses modifications de réservation, une assistance frauduleuse aux démarches de visa, de fausses notifications concernant les bagages ou des prétextes d’annulation de vol. Les voyageurs d’affaires courent également un risque supplémentaire lorsque leur adresse e-mail professionnelle est associée à des dossiers de voyages personnels.

Les utilisateurs dont la date de naissance et l’adresse postale figurent dans les données d’inscription doivent faire preuve d’une vigilance accrue lors des procédures de récupération de compte et de vérification par le service client. Pour ceux dont le numéro de téléphone est présent, le risque lié aux appels et aux SMS est particulièrement important. Les personnes dont les données de passeport figurent dans la fiche doivent être plus sélectives face aux messages concernant le renouvellement d’un passeport, une demande de visa, les formalités aux frontières ou l’assurance voyage. Il ne faut pas présumer que chaque message provient d’une véritable compagnie aérienne ou d’une institution officielle; avant toute démarche, le nom de domaine, la ligne téléphonique et la nature des informations demandées doivent être vérifiés séparément.

Les utilisateurs qui constatent une correspondance dans la fiche MalindoAir doivent d’abord déterminer quelle adresse e-mail a été touchée, puis vérifier les comptes de compagnie aérienne, de programme de fidélité, d’agence de voyages et de messagerie associés à cette adresse. Même si le mot de passe n’est pas un champ de données vérifié, celui utilisé pour un compte Malindo Miles ou un compte de voyage similaire doit être remplacé par un mot de passe unique s’il est également utilisé sur d’autres services. L’authentification à deux facteurs doit être activée sur les comptes de messagerie et de voyage, et les alertes de sécurité doivent rester actives.

Les personnes concernées doivent contrôler régulièrement leur numéro de passeport, la validité de leur passeport, leurs transactions de voyage récentes et les notifications officielles relatives à ces transactions. Elles ne doivent pas répondre directement aux messages provenant de contacts inconnus au sujet de remboursements de billets, de paiements pour des bagages supplémentaires, de changements de vol ou d’une assistance aux démarches de visa. Les demandes de codes de vérification reçus par téléphone, de photos de passeport ou de pièces d’identité supplémentaires doivent être refusées; si nécessaire, il convient d’ouvrir une session distincte depuis l’adresse connue de la compagnie aérienne ou de l’institution officielle. Toute opération financière inhabituelle doit être signalée sans délai à la banque ou à l’émetteur de la carte concerné.

La protection à long terme des comptes de compagnie aérienne et de voyage commence par l’utilisation de mots de passe différents pour chaque service. Un gestionnaire de mots de passe facilite la conservation de mots de passe uniques et robustes pour chaque service de voyage. Il est également utile de séparer les adresses e-mail selon leur usage : le compte de messagerie principal peut être réservé aux opérations importantes, tandis qu’une adresse distincte peut servir aux inscriptions liées aux voyages et aux campagnes promotionnelles. Ainsi, une fuite chez une compagnie aérienne ne devient pas un incident qui touche d’un seul coup l’ensemble de l’identité numérique.

Le principe de minimisation des données est également important. Les données d’adresse, de téléphone ou de document qui ne sont pas obligatoires ne doivent pas être conservées dans le compte de voyage; les anciennes réservations et les adhésions à des programmes de fidélité inutilisées doivent être réexaminées à intervalles réguliers. Pour les services qui contiennent des données de passeport, il convient de ne partager des copies de documents que lorsque cela est nécessaire et de refuser les demandes qui sortent des procédures officielles. Les données issues d’anciennes fuites de compagnies aériennes, comme celle de MalindoAir, peuvent encore alimenter des listes utilisées à des fins frauduleuses des années plus tard. Les utilisateurs doivent donc prendre l’habitude de vérifier régulièrement la sécurité de leurs comptes et de leurs communications, plutôt que de se contenter d’un contrôle ponctuel.

Si une correspondance apparaît dans cette fiche, commencez par noter votre adresse e-mail concernée, puis dressez la liste des comptes de voyage ouverts avec cette adresse. Vérifiez ensuite les paramètres de sécurité de votre compte de messagerie, de votre compte de compagnie aérienne, de votre adhésion au programme de fidélité, de votre compte d’agence de voyages et des services liés à vos moyens de paiement. Si un même mot de passe est réutilisé sur plusieurs comptes, changez-le immédiatement. Si des messages reçus demandent de confirmer votre numéro de passeport, votre date de naissance, votre adresse ou votre numéro de téléphone, ne communiquez aucune information avant d’avoir effectué une vérification distincte par le canal officiel, même si le message semble authentique.

La fuite de données de MalindoAir doit être considérée non comme une fuite de données de cartes de paiement ou de mots de passe, mais comme une fuite de dossiers clients d’une compagnie aérienne contenant un vaste ensemble de données personnelles et d’identité liées aux voyages. Des champs tels que le numéro de passeport, la nationalité, l’adresse, le numéro de téléphone et la date de naissance peuvent rester inchangés pendant longtemps; le risque ne se limite donc pas à la période proche de la date de la fuite. Lorsqu’une correspondance est constatée, l’objectif n’est pas de susciter la panique, mais de faire preuve de davantage de discernement lors des procédures d’authentification, de renforcer la sécurité des anciens comptes de voyage et d’entretenir une vigilance durable face aux demandes frauduleuses de réservation ou de documents.