Fuite de données chez Market Moveis

Les types de données observés dans cette fiche sont les adresses e-mail et les noms. Les champs relatifs aux mots de passe, aux numéros de téléphone, aux adresses postales ou aux cartes de paiement n’ont pas été vérifiés. Les champs non vérifiés concernant les cartes de paiement, les comptes bancaires, les messages privés, les pièces d’identité officielles, les dossiers médicaux ou les informations de profil supplémentaires n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

L’association d’un nom et d’une adresse e-mail peut être utilisée dans de fausses campagnes promotionnelles, notifications de commande ou communications du service client. Une adresse e-mail seule présente un risque de spam; lorsqu’elle est associée à un numéro de téléphone, une adresse postale, une adresse IP, une date de naissance, une photo, un numéro de pièce d’identité ou des données de suivi d’appareil, un attaquant peut plus facilement créer des messages personnalisés. Le risque est donc évalué non seulement en fonction du nombre d’enregistrements, mais aussi des possibilités de croisement des données.

Le périmètre a été confirmé à partir du relevé de 28 220 enregistrements datant d’août 2023. Les champs vérifiés ont été conservés, tandis que les champs non confirmés ont été exclus. L’incident n’a pas été regroupé avec ceux d’autres marques, avec des fiches portant des noms similaires ou avec des incidents survenus à d’autres périodes au sein de la même entreprise.

L’incident a été limité au domaine marketmoveis.pt, et aucun domaine client supplémentaire n’a été ajouté à la catégorie de données. Cette approche évite l’ajout de doublons de fuites de données et empêche d’attribuer à tort la responsabilité de l’incident à une organisation dans les informations présentées à l’utilisateur. Le domaine, le nom de l’entreprise et les informations sectorielles ont été conservés dans le périmètre exact le plus restreint possible; en cas d’incertitude, l’indicateur de vérification ou le domaine du site web a été défini en conséquence.

Les utilisateurs à risque peuvent être des clients ayant créé un compte sur le site de Market Moveis, consulté des produits ou rempli un formulaire de contact. Les utilisateurs pour lesquels une correspondance est trouvée doivent également examiner, au-delà du compte concerné, les autres comptes sur lesquels ils utilisent la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou des mots de passe construits selon le même modèle.

Des messages portant sur la décoration intérieure ou les commandes peuvent servir à diriger l’utilisateur vers de faux liens. Le risque d’ingénierie sociale peut augmenter lorsque le contexte implique une adresse e-mail professionnelle, un compte pour enfant ou familial, un registre public, une identité de joueur, une communauté d’alphabétisation, un logiciel de surveillance ou un service professionnel. Les utilisateurs ne doivent pas considérer des détails apparemment exacts à leur sujet comme un gage de fiabilité.

Les utilisateurs concernés doivent vérifier, sur le site officiel, les messages de campagne promotionnelle, de commande ou de mise à jour de compte reçus au nom de Market Moveis. Pour les comptes comportant un champ de mot de passe, tous les comptes utilisant le même mot de passe doivent être mis à jour; pour les comptes sans champ de mot de passe, l’attention doit porter sur les risques liés au téléphone, à l’e-mail, aux fausses notifications et au rapprochement des données d’identité.

Au lieu de cliquer sur les liens contenus dans le message, il convient de saisir manuellement l’adresse du service concerné ou d’utiliser l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Les messages concernant la livraison de colis, l’assistance, les récompenses de jeu, les avertissements relatifs aux comptes, les registres publics, les notifications de sécurité, le partage de documents ou le renouvellement d’abonnement ne doivent pas être considérés comme fiables sans vérification par un canal indépendant.

Il convient de limiter les autorisations marketing dans les comptes de commerce de détail et de ne communiquer que les coordonnées nécessaires. Les utilisateurs doivent régulièrement faire le ménage dans leurs anciens comptes, les champs de profil inutiles, les noms d’utilisateur en double et leurs anciennes coordonnées téléphoniques et postales. L’utilisation d’un mot de passe unique pour chaque service et de la vérification en deux étapes, lorsqu’elle est disponible, doit être une règle de base.

Du côté des prestataires de services, la minimisation des données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs inutiles et la préparation de procédures de notification des utilisateurs sont nécessaires. Même des données limitées au nom et à l’adresse e-mail peuvent suffire à créer des messages usurpant l’identité d’une marque. Une présentation exacte du périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

L’utilisateur doit d’abord rechercher une correspondance dans cette fiche à l’aide de son adresse e-mail. Si une correspondance est trouvée, il doit considérer que son nom et son adresse e-mail peuvent être utilisés dans des messages ciblés et vérifier manuellement les liens vers la boutique. L’absence de correspondance n’exclut pas complètement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; les comptes critiques doivent également être examinés.

Cette fiche a conservé son statut vérifié; aucun indicateur de sensibilité ni champ de données supplémentaire n’a été ajouté, faute de vérification. Lors de cette révision, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible par l’utilisateur a été rédigée en turc sous la forme d’un texte original, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.