Fuite de données chez Mappery

Les adresses e-mail présentes dans les données de Mappery peuvent servir à envoyer de fausses alertes de compte, des notifications de téléchargement de cartes et des messages d’hameçonnage ciblés. Les noms d’utilisateur peuvent permettre de relier plusieurs profils si le même pseudonyme est utilisé sur d’autres sites. Le champ de localisation géographique peut donner un indice sur les lieux qui intéressent l’utilisateur ou sur la région associée à son compte. Cette information ne constitue pas à elle seule une adresse complète, mais elle accroît le risque pour la vie privée lorsqu’elle est combinée à d’autres champs.

Les empreintes de mots de passe constituent l’élément technique le plus critique de cette fiche. SHA-1 sans sel est considéré comme peu sûr au regard des normes de sécurité actuelles. Les attaquants peuvent notamment tenter de casser ces empreintes hors ligne lorsque les mots de passe sont courts, contiennent des mots du dictionnaire ou ont déjà été observés dans d’autres fuites de données. Si le même mot de passe est utilisé pour d’autres comptes, la fuite de Mappery peut permettre des tentatives de connexion à des comptes de messagerie, de forums, de services cartographiques, de réseaux sociaux ou professionnels. Le risque ne doit donc pas être considéré comme limité au seul compte Mappery.

Le périmètre vérifié comprend 205 242 adresses e-mail uniques, une date de fuite au 11 décembre 2018, une date d’ajout au 18 décembre 2018 et quatre types de données : adresses e-mail, localisations géographiques, mots de passe et noms d’utilisateur. Cette fiche concerne un site de partage de cartes. Aucun numéro de téléphone, adresse postale, carte de paiement, compte bancaire, pièce d’identité officielle, nom réel ou contenu de message privé n’y figure parmi les champs vérifiés.

La portée du champ « mot de passe » doit être explicitement délimitée. L’information vérifiée est une empreinte de mot de passe SHA-1 sans sel; il ne faut donc pas affirmer que tous les mots de passe sont lisibles en clair. Néanmoins, puisque SHA-1 sans sel est une méthode peu sûre, les mots de passe réutilisés présentent un risque élevé. Les principaux risques à signaler à l’utilisateur concernent la compromission des comptes, la réutilisation des mots de passe, le rapprochement de profils à partir de données géographiques, l’hameçonnage et l’atteinte à la vie privée.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte Mappery sur d’autres services. Le risque de rapprochement entre profils augmente pour les personnes qui créent des comptes dans des communautés cartographiques, sur des forums ou des réseaux sociaux, ainsi que des comptes professionnels ou de messagerie, avec la même adresse e-mail et le même nom d’utilisateur. Pour les comptes comportant des informations de localisation géographique, de faux messages adressés à l’utilisateur et portant sur une région, un itinéraire, une carte ou un lieu précis peuvent être plus convaincants.

Les utilisateurs qui partagent des cartes ou qui sont connus pour d’anciens contenus liés à des lieux doivent également veiller à leur vie privée. Les zones géographiques ne doivent pas être assimilées à une adresse complète, mais elles peuvent donner des indices sur des centres d’intérêt passés ou sur le contexte de déplacements. Associées à un nom d’utilisateur et à une adresse e-mail, ces informations facilitent la création de messages plus personnalisés par les attaquants. Il convient donc de vérifier non seulement les mots de passe, mais aussi les profils cartographiques et les informations utilisateur visibles.

Si vous constatez une correspondance dans la fiche Mappery, commencez par remplacer le mot de passe de ce compte, ainsi que celui de tous les autres comptes où vous l’utilisez, par un mot de passe unique pour chaque compte. Vérifiez en priorité les comptes de messagerie, les réseaux sociaux, les forums, les services cartographiques et les services liés à des moyens de paiement. L’utilisation d’un gestionnaire de mots de passe pour créer un mot de passe long et aléatoire pour chaque service réduit le risque de réutilisation. Vérifiez également la présence éventuelle de sessions inconnues, de nouvelles adresses de récupération ou de notifications de sécurité inattendues sur vos comptes.

Activez l’authentification à deux facteurs sur les comptes qui la prennent en charge. Protégez particulièrement bien votre compte de messagerie, car la réinitialisation du mot de passe de nombreux services passe par l’e-mail. Ne cliquez pas directement sur les liens contenus dans des messages envoyés au nom de Mappery ou d’un service de partage de cartes; accédez vous-même au domaine pour vérifier votre compte. Ne répondez pas aux messages qui vous demandent votre mot de passe, un code de récupération ou des informations de sécurité supplémentaires.

Pour une protection durable, séparez les comptes de cartographie, de loisirs et de communautés de vos comptes critiques. Réservez votre adresse e-mail principale aux services essentiels et privilégiez une adresse distincte pour les comptes communautaires et ceux consacrés aux lieux. Éviter d’utiliser le même nom d’utilisateur sur toutes les plateformes rend le rapprochement entre profils plus difficile. Un gestionnaire de mots de passe facilite le repérage des mots de passe réutilisés par le passé et la création de mots de passe robustes pour chaque compte.

Réexaminez régulièrement vos anciennes cartes et vos profils communautaires. Fermez les comptes inutilisés, ne conservez pas d’informations personnelles superflues sur les comptes actifs et choisissez avec soin les contenus de localisation que vous rendez visibles. Comme la localisation géographique, le nom d’utilisateur et l’adresse e-mail peuvent servir à rapprocher des profils même des années plus tard, les conséquences d’anciennes fuites de données ne disparaissent pas complètement. C’est pourquoi les fiches comme celle de Mappery doivent s’inscrire dans une vigilance durable concernant la sécurité des comptes.

Si vous constatez une correspondance dans la fuite de Mappery, commencez par dresser la liste des comptes créés avec votre adresse e-mail concernée. Déterminez ensuite quels services utilisent le même mot de passe ou un mot de passe similaire, puis effectuez les changements en commençant par les comptes les plus critiques. Si vous utilisez votre nom d’utilisateur sur d’autres plateformes, évaluez si le rapprochement de ces profils présente un risque pour votre vie privée. Mettez fin aux anciennes sessions, actualisez les options de récupération et gardez les alertes de sécurité activées.

Cette fiche ne doit pas être considérée comme une fuite de numéros de téléphone, d’adresses postales ou de cartes de paiement : le risque vérifié provient de la combinaison de l’adresse e-mail, de la localisation géographique, du nom d’utilisateur et de l’empreinte du mot de passe. Bien que la fuite de Mappery remonte à 2018, le risque peut encore persister aujourd’hui si le même mot de passe a été réutilisé pendant des années. La meilleure démarche consiste à utiliser des mots de passe uniques, à protéger solidement votre compte de messagerie et à vous méfier des faux messages concernant des cartes ou prétendant provenir de l’assistance d’un compte.