Fuite de données chez Mashable

Les adresses e-mail figurant dans la fiche Mashable peuvent servir à envoyer des messages d’hameçonnage sous couvert de fausses alertes de sécurité, d’avertissements concernant un compte sur un média, de renouvellements d’abonnement ou de connexions à un réseau social. Des informations comme le nom, le genre et la date de naissance partielle donnent à ces messages une apparence personnalisée. Les adresses IP et les champs de localisation géographique ne révèlent pas une adresse complète, mais peuvent fournir des indices sur la zone générale de connexion de l’utilisateur ou sur le contexte de son profil. Les liens vers ses profils de réseaux sociaux peuvent, quant à eux, permettre des rapprochements avec son identité en ligne au sens large.

Les jetons d’authentification sont les éléments de cette fiche qui nécessitent le plus de prudence dans leur interprétation. Les informations vérifiées indiquent que les jetons ont expiré; il ne faut donc pas affirmer avec certitude qu’une session actuelle a été compromise. Néanmoins, l’historique de ces jetons montre qu’une fonctionnalité de connexion via un réseau social a pu être exposée à un risque. L’utilisation conjointe des liens vers des profils de réseaux sociaux et des adresses e-mail peut rendre plus efficaces les faux messages d’assistance, les alertes de sécurité des comptes et les tentatives d’hameçonnage personnalisées.

Le périmètre vérifié couvre 1 414 677 adresses e-mail uniques. La date de la fuite est le 1er juin 2020 et celle de l’ajout de la fiche le 10 novembre 2020. Huit catégories de données sont recensées : jetons d’authentification, adresses e-mail, genres, localisations géographiques, adresses IP, noms, dates de naissance partielles et profils de réseaux sociaux. Les informations partielles sur la date de naissance se limitent au jour et au mois; elles ne doivent pas être présentées comme des dates de naissance complètes. Les mots de passe, numéros de téléphone, adresses physiques, cartes de paiement, comptes bancaires et pièces d’identité officielles ne figurent pas parmi les champs vérifiés de cette fiche.

Pour cette fiche, il convient de maintenir la distinction entre une fuite de données et une prise de contrôle directe d’un compte. Les informations relatives aux jetons expirés indiquent un risque lié à une ancienne session sur un réseau social ou à un ancien lien de connexion; elles ne permettent toutefois pas de conclure que les clés de session actuelles sont encore utilisables. Les principaux risques à communiquer à l’utilisateur concernent le rapprochement de profils de réseaux sociaux, l’hameçonnage ciblé, les atteintes à la vie privée, les faux messages personnalisés à partir du nom et de la localisation, ainsi que l’utilisation abusive de l’adresse e-mail.

Les utilisateurs les plus exposés sont ceux qui ont associé leur compte Mashable à des profils de réseaux sociaux et qui utilisent la même adresse e-mail pour plusieurs comptes de médias ou de réseaux sociaux. Ceux dont les liens vers les profils de réseaux sociaux sont publics peuvent être ciblés par de fausses alertes de partage, de faux avis concernant les droits d’auteur, des notifications d’abonnement ou des messages de sécurité des comptes. Les informations sur la date de naissance partielle, le nom et le genre contribuent à donner à ces messages une apparence plus personnelle.

Le risque de rapprochement de profils est plus marqué pour les personnes dont les profils de réseaux sociaux sont accessibles au public. Les adresses IP et les informations de localisation géographique ne fournissent pas, à elles seules, une adresse complète, mais peuvent donner des indices sur la zone générale où se trouve l’utilisateur ou sur ses habitudes de connexion. Les personnes qui utilisent leur adresse e-mail professionnelle pour se connecter via des réseaux sociaux doivent également faire preuve d’une vigilance accrue : si les informations de leurs comptes personnels sur des médias sont rapprochées de leur identité professionnelle, de fausses notifications professionnelles ou des attaques imitant les communications d’une marque peuvent devenir plus convaincantes.

Si vous trouvez une correspondance vous concernant dans la fiche Mashable, vérifiez d’abord l’adresse e-mail touchée et les comptes de réseaux sociaux qui lui sont associés. Même si les mots de passe ne figurent pas parmi les champs vérifiés, examinez les autorisations des applications et les sessions actives des comptes liés si vous avez utilisé la connexion via un réseau social. Activez l’authentification à deux facteurs sur votre compte de messagerie, vérifiez les adresses de récupération et fermez les sessions que vous ne reconnaissez pas. Laissez les alertes de sécurité activées sur les comptes de médias, de réseaux sociaux et d’abonnements pour lesquels vous utilisez la même adresse e-mail.

Ne cliquez pas directement sur les liens envoyés au nom de Mashable ou d’un compte sur un média; accédez vous-même au domaine pour vérifier votre compte. Ne répondez pas aux messages qui demandent un accès à vos réseaux sociaux, des codes de récupération, des informations de sécurité supplémentaires ou des informations de paiement. Les messages contenant des détails personnels, comme votre nom, une date de naissance partielle ou votre localisation, peuvent sembler plus convaincants. Même si les informations personnelles qu’ils contiennent sont exactes, vous ne devez donc pas en déduire que la demande est légitime.

Pour une protection à long terme, les comptes utilisés pour se connecter via un réseau social doivent être vérifiés régulièrement. Il convient de faire le tri dans la liste des applications liées aux comptes de réseaux sociaux, de supprimer les autorisations des applications inutilisées et de conserver des paramètres de sécurité distincts pour les comptes sur des médias. L’adresse e-mail principale peut être réservée aux comptes critiques, tandis qu’une adresse distincte, moins sensible, peut être utilisée pour les comptes de médias et d’abonnements. Cette séparation limite le risque qu’une seule fuite touchant un compte sur un média ait des répercussions sur l’ensemble de l’identité numérique.

Il convient de limiter l’affichage du nom, de la localisation, de la date d’anniversaire et des liens sociaux sur le profil lorsque ces informations ne sont pas nécessaires. Les utilisateurs doivent savoir que des profils de réseaux sociaux publics peuvent accroître le risque de messages ciblés. La vérification régulière des comptes, l’authentification à deux facteurs, la suppression des autorisations de connexion via les réseaux sociaux et de bonnes habitudes de sécurité de la messagerie assurent une protection durable après ce type de fuite. Même lorsque la fuite est ancienne, la même adresse e-mail et les mêmes liens vers des profils de réseaux sociaux peuvent être utilisés dans des campagnes d’hameçonnage des années plus tard.

Si vous trouvez une correspondance vous concernant dans la fuite de Mashable, commencez par dresser la liste de vos comptes de réseaux sociaux et de médias liés à l’adresse e-mail touchée. Vérifiez ensuite les sessions ouvertes, les autorisations des applications connectées, les options de récupération et les alertes de sécurité de ces comptes. Si la même adresse e-mail est également utilisée pour des comptes professionnels ou des comptes personnels critiques, assurez-vous que l’authentification à deux facteurs et les informations de récupération de ces comptes sont à jour. Limiter les liens vers vos profils de réseaux sociaux réduit le risque de rapprochement de profils à l’avenir.

Cette fiche ne doit pas être considérée comme faisant état d’une fuite de mots de passe, de numéros de téléphone, d’adresses physiques ou de cartes de paiement. Le risque vérifié provient de la combinaison des adresses e-mail, des noms, des genres, des dates de naissance partielles, des adresses IP, des localisations géographiques, des profils de réseaux sociaux et des jetons expirés. Bien que la fuite de Mashable remonte à 2020, ces informations peuvent encore être utilisées aujourd’hui dans des messages ciblés. Les mesures les plus adaptées consistent à sécuriser fortement le compte de messagerie, à faire le tri dans les autorisations de connexion via les réseaux sociaux et à se méfier des fausses notifications de médias contenant des informations personnelles.