Exposition présumée de données chez MarketsMojo

Les listes sources concernant MarketsMojo présentent des chiffres plus élevés et certains champs de données supplémentaires. Toutefois, les catégories de données ont été ajoutées avec davantage de prudence. Les champs les plus solidement étayés sont les adresses e-mail, les numéros de téléphone, les noms d’utilisateur et les empreintes bcrypt des mots de passe. Des champs tels que les adresses postales n’ont pas été ajoutés au champ dataClasses de cette fiche, faute de vérification suffisamment solide. Cette approche a été retenue pour éviter de présenter aux utilisateurs des affirmations excessives.

Les catégories de données vérifiables comprennent les adresses e-mail, les numéros de téléphone, les noms d’utilisateur et les empreintes des mots de passe. Selon les informations rapportées, les mots de passe seraient stockés sous forme d’empreintes bcrypt. Bcrypt offre une méthode de stockage des mots de passe plus robuste que des algorithmes rapides comme MD5 ou SHA1; néanmoins, la robustesse d’une empreinte ne signifie pas que le risque est entièrement éliminé. Des mots de passe faibles, des paramètres de coût trop bas ou la réutilisation des mots de passe peuvent faciliter la tâche d’un attaquant.

La présence conjointe de l’adresse e-mail et du numéro de téléphone permet aux attaquants de contacter l’utilisateur aussi bien par e-mail que par SMS. Le nom d’utilisateur peut révéler son identité sur la plateforme et, parfois, un pseudonyme susceptible de correspondre à celui utilisé sur d’autres comptes liés à l’investissement, aux réseaux sociaux ou aux forums. Compte tenu du contexte de cette plateforme d’analyse financière, les messages peuvent prendre la forme de conseils en investissement, d’alertes sur le portefeuille, de demandes de renouvellement d’abonnement ou de vérification de compte.

Sur les plateformes d’investissement et d’analyse des marchés comme MarketsMojo, les utilisateurs consultent des informations pour prendre des décisions financières. Lorsqu’un attaquant sait qu’un utilisateur est lié à une telle plateforme, il peut préparer des messages d’escroquerie à l’investissement plus convaincants. Il peut notamment invoquer de fausses alertes boursières, le renouvellement d’un abonnement premium, la vérification d’un portefeuille, des mises à jour d’application, le contrôle d’un moyen de paiement ou l’association d’un compte de courtage.

Les informations bancaires, les données de carte et le contenu des portefeuilles ne sont pas mentionnés dans la description de cette fiche, car leur présence n’a pas été vérifiée. Toutefois, les seules coordonnées e-mail et téléphoniques constituent déjà un point de départ solide pour des fraudes financières. Puisque l’utilisateur utilise effectivement une plateforme d’investissement, il peut réagir plus rapidement à des messages évoquant des opportunités d’investissement ou des alertes de marché urgentes. Ce risque d’ingénierie sociale donne une importance particulière à cette fiche.

Avant l’ajout de cette fiche, une recherche de doublons a été effectuée parmi les fiches existantes concernant MarketsMojo, Markets Mojo, marketsmojo.com et les variantes de noms associées. Aucune fiche distincte existante n’ayant été trouvée, elle a été considérée comme une nouvelle fiche. Son ajout a été accepté parce que des listes accessibles regroupent le nom de domaine, la date de mars 2021, des centaines de milliers d’enregistrements utilisateur et des catégories de données comprenant les adresses e-mail, les numéros de téléphone, les noms d’utilisateur et les empreintes bcrypt des mots de passe.

Malgré cela, aucune déclaration officielle exhaustive de l’exploitant de la plateforme n’a été identifiée qui confirme l’ensemble des détails techniques, le nombre d’enregistrements et les catégories de données concernées. La fiche conserve donc un statut non vérifié. Les champs supplémentaires mentionnés dans des sources moins solides, comme l’adresse postale, n’ont pas été inclus dans les catégories de données. Cette fiche ne retient que les champs les mieux étayés et ne présente pas les points ambigus comme des certitudes.

Si vous avez utilisé le mot de passe de votre compte MarketsMojo ailleurs, commencez par le changer. Les empreintes bcrypt ne sont pas directement des mots de passe en clair; toutefois, le risque augmente si vous avez choisi un mot de passe faible ou si ce même mot de passe figurait dans d’autres fuites. Donnez la priorité aux comptes de messagerie, aux applications financières, aux comptes de courtage, aux plateformes d’achat et aux comptes de réseaux sociaux.

Le numéro de téléphone étant exposé, l’hameçonnage par SMS constitue également un risque réel. Les attaquants peuvent envoyer des messages évoquant des alertes de marché, des opportunités d’investissement, une vérification de portefeuille, un renouvellement de paiement ou des mises à jour de sécurité de l’application. Ces messages peuvent contenir des liens raccourcis, de fausses pages de connexion ou des liens de téléchargement d’applications malveillantes. Soyez particulièrement prudent face aux messages à caractère financier.

• Remplacez le mot de passe de votre compte MarketsMojo par un mot de passe unique et robuste.
• Modifiez les mots de passe des comptes financiers, de messagerie et de réseaux sociaux qui utilisent le même mot de passe.
• Activez la vérification en deux étapes dans vos applications financières.
• N’ouvrez pas directement les liens d’investissement reçus par SMS ou par e-mail.
• Contrôlez les demandes de vérification d’un compte de courtage ou de paiement depuis l’application officielle.
• Ne communiquez à personne les codes de vérification demandés par téléphone.
• Vérifiez auprès d’une source indépendante les conseils en investissement ou les messages présentant une opportunité de marché urgente.

Bcrypt est un algorithme lent et coûteux en ressources, conçu pour le stockage des mots de passe. Lorsqu’il est correctement configuré, il complique la récupération du mot de passe réel à partir de ses empreintes par les attaquants. Cependant, toutes les utilisations de bcrypt n’offrent pas le même niveau de robustesse. Si le paramètre de coût est faible, si le mot de passe est court ou courant, ou si l’utilisateur a utilisé le même mot de passe dans d’autres fuites, les attaquants peuvent malgré tout bénéficier d’un avantage.

Vous ne devez donc pas considérer la mention de bcrypt comme une garantie de sécurité totale. L’approche la plus sûre consiste à supposer que le mot de passe a pu être retrouvé et à le remplacer par un nouveau mot de passe unique. Si vous avez utilisé le même mot de passe sur d’autres comptes financiers ou de messagerie, le risque est plus sérieux. La création de mots de passe longs et aléatoires à l’aide d’un gestionnaire de mots de passe réduit ce risque.

Les utilisateurs de plateformes d’analyse financière peuvent constituer des cibles intéressantes pour les fraudeurs. Lorsqu’un attaquant connaît les intérêts de l’utilisateur en matière d’investissement, il peut lui envoyer des messages évoquant de fausses recommandations boursières, des rapports exclusifs, des analyses haut de gamme, des essais gratuits, des alertes sur le portefeuille ou des documents fiscaux. S’il dispose d’un numéro de téléphone, la même campagne peut également être menée par SMS ou via des applications de messagerie.

Ne prenez pas de décision d’investissement à partir de liens reçus par e-mail ou par SMS. Ne téléchargez pas d’applications en dehors de la boutique officielle d’applications. Accédez aux services de courtage à partir d’adresses de confiance saisies manuellement ou enregistrées, et vérifiez les demandes de paiement et d’abonnement dans l’interface officielle. Les messages financiers qui créent un sentiment d’urgence doivent être considérés comme particulièrement suspects.

Les plateformes de technologie financière et de recherche en investissement devraient s’intéresser non seulement à la sécurité des mots de passe, mais aussi aux usages abusifs possibles des coordonnées de contact. Si les adresses e-mail et les numéros de téléphone sont stockés ensemble, des contrôles d’accès, le masquage des données, des restrictions de téléchargement et une surveillance des anomalies devraient être mis en place. L’authentification multifacteur devrait être obligatoire sur les interfaces d’administration, les exportations de données clients devraient être journalisées et les champs inutiles ne devraient pas être conservés pendant de longues périodes.

En cas de suspicion de fuite de données, il ne suffit pas de demander à l’utilisateur de changer son mot de passe. Les risques de fraude financière, d’hameçonnage par SMS, de fausses opportunités d’investissement et de pièges liés au renouvellement d’abonnement doivent être clairement expliqués. Un utilisateur qui connaît les attaques possibles pourra mieux évaluer les messages qu’il reçoit. Dans ce contexte financier, la stratégie de communication est aussi importante que les détails techniques.

La fuite de données MarketsMojo fait l’objet d’une fiche liée à la plateforme de recherche en investissement marketsmojo.com. Selon les informations rapportées, elle aurait touché environ 450 949 enregistrements utilisateur au cours du mois de mars 2021. Les catégories de données qui auraient été exposées comprennent les adresses e-mail, les numéros de téléphone, les noms d’utilisateur et les empreintes bcrypt des mots de passe. Ces informations présentent des risques pour la sécurité des comptes et peuvent servir à l’hameçonnage par SMS et à la fraude financière.

La fiche n’a pas été marquée comme vérifiée, faute de confirmation officielle provenant d’une source primaire. Le nom de domaine, la date, le nombre d’enregistrements et les catégories de données ont néanmoins été inclus pour informer les utilisateurs, car ils apparaissent de manière cohérente dans les fiches publiques de fuites de données. Si vous utilisez MarketsMojo, changez vos mots de passe, activez l’authentification à deux facteurs sur vos comptes financiers, évitez de cliquer sur les liens d’investissement reçus par SMS ou par e-mail et ne communiquez vos codes de vérification à personne.

Les coordonnées e-mail et téléphoniques associées aux plateformes financières peuvent être combinées à d’autres jeux de données au fil du temps. Si un utilisateur emploie la même adresse e-mail pour un service de courtage, une banque, un forum d’investissement ou une lettre d’information, un attaquant peut constituer un profil plus complet de ses activités d’investissement. Ce profil peut servir à proposer de fausses opportunités d’investissement ou à envoyer des messages d’escroquerie personnalisés.

À long terme, utilisez des mots de passe distincts et robustes pour vos comptes financiers, privilégiez une adresse e-mail séparée pour les notifications financières, utilisez une authentification multifacteur via une application en complément de la vérification par SMS et ne prenez vos décisions d’investissement qu’à partir de sources vérifiées. Une ancienne fiche de fuite de données peut encore servir à de nouvelles tentatives de fraude tant que le numéro de téléphone et l’adresse e-mail n’ont pas changé.

Certaines listes concernant MarketsMojo peuvent faire apparaître des champs de données supplémentaires, comme les adresses postales; toutefois, ces champs n’ont pas été inclus dans le champ dataClasses, car ils ne sont pas étayés avec la même clarté dans les fiches détaillées. Cette décision ne vise pas à minimiser les conséquences de la fuite, mais à éviter de présenter aux utilisateurs un périmètre non vérifié comme une information certaine. Les adresses e-mail, les numéros de téléphone, les noms d’utilisateur et les empreintes des mots de passe constituent déjà un ensemble de risques suffisant pour justifier des mesures de sécurité.

À l’avenir, la fiche pourra être mise à jour si une source plus solide confirme les adresses postales ou d’autres champs de données financières. À ce stade, l’approche la plus exacte consiste à alerter les utilisateurs sur les champs essentiels vérifiables et à expliquer clairement le risque d’ingénierie sociale dans le contexte financier. C’est pourquoi la description se concentre expressément sur l’hameçonnage par SMS, les fausses notifications d’investissement, les renouvellements d’abonnement et les pièges liés à la vérification de compte.

Lorsqu’une fiche de fuite de données contient des numéros de téléphone, les enjeux dépassent la seule sécurité des e-mails. Un attaquant peut appeler l’utilisateur, lui envoyer des messages ou se faire passer pour un représentant d’une application d’investissement. Les codes à usage unique envoyés à l’utilisateur, les demandes de partage d’écran et les demandes d’assistance à distance présentent des risques particulièrement importants. Si vous utilisez MarketsMojo, utilisez donc une authentification multifacteur via une application sur vos comptes financiers et ne communiquez aucun code reçu par téléphone.