Master Deeds Fuite de données

Les types de données observés dans cette fiche sont les dates de naissance, le statut de décès, les adresses e-mail, les employeurs, l’origine ethnique, le genre, les numéros d’identification officiels, le statut de propriétaire d’un logement, les intitulés de poste, les noms, les nationalités, les numéros de téléphone et les adresses postales. En l’absence de champ de mot de passe, la prise de contrôle de comptes n’est pas une source de préoccupation; en revanche, les risques d’utilisation abusive de l’identité et ceux liés au profil personnel sont importants. Aucun champ non vérifié relatif aux cartes de paiement, aux comptes bancaires, aux messages privés, aux identifiants officiels, aux dossiers médicaux ou à des informations de profil supplémentaires n’a été ajouté à la liste des catégories de données; seuls les champs étayés ont été conservés.

Les champs d’identité officielle et d’adresse peuvent servir à commettre des fraudes, à déposer de fausses demandes, à contourner des étapes de vérification d’identité et à envoyer des messages de menace personnalisés. Une adresse e-mail seule expose à des messages indésirables; associée à un numéro de téléphone, une adresse, une IP, une date de naissance, une photo, un numéro d’identification ou des données de suivi d’appareil, elle permet plus facilement à un attaquant de créer des messages personnalisés à votre intention. Le risque est donc évalué non seulement selon le nombre d’enregistrements, mais aussi selon les possibilités d’exploitation des données combinées.

Le périmètre a été vérifié à partir du jeu de données de mars 2017 et de 2,25 millions d’adresses e-mail. Les champs vérifiés ont été conservés, tandis que les champs non confirmés ont été exclus. Cet incident n’a pas été regroupé avec d’autres marques, des fiches aux noms similaires ou des événements concernant la même entreprise à d’autres périodes.

L’organisme responsable n’ayant pas été établi avec certitude, les champs du domaine et du site web ont été laissés vides; l’explication a été limitée au contexte des données d’identité sud-africaines. Cette approche évite l’ajout de fuites en double et vous signale une attribution erronée de responsabilité institutionnelle. Le nom de domaine, le nom de l’entreprise et les informations sectorielles ont été maintenus dans le contexte exact le plus restreint possible; en cas d’incertitude, l’indicateur de vérification ou le champ du site web a été défini en conséquence.

Les groupes à risque peuvent comprendre les personnes vivant en Afrique du Sud ou figurant dans d’anciens registres publics, les membres de la famille de personnes décédées et les citoyens figurant dans des registres immobiliers. Si une correspondance est trouvée pour vous, vous devriez également examiner les autres comptes sur lesquels vous utilisez la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou le même schéma de mot de passe, au-delà du compte concerné.

Le statut de décès d’une personne et son contexte familial peuvent rendre plus convaincantes les fraudes liées à une succession, à un bien immobilier, à une assurance ou à des démarches officielles. Le risque d’ingénierie sociale peut augmenter lorsque les données s’inscrivent dans un contexte de messagerie professionnelle, de compte enfant ou familial, de registre public, d’identité de jeu, de communauté d’alphabétisation, de logiciel de surveillance ou de service professionnel. Vous ne devez pas considérer des détails apparemment exacts à votre sujet comme un gage de confiance.

Si vous êtes concerné, vous devriez vérifier auprès d’un organisme indépendant les demandes liées à des opérations officielles, à des dettes, à des biens immobiliers ou à des successions qui proviennent de personnes connaissant votre identité et votre adresse. Pour les fiches comportant un champ de mot de passe, les mots de passe de tous les comptes utilisant le même mot de passe devraient être modifiés; pour celles qui n’en comportent pas, l’attention devrait porter sur les risques liés au téléphone, aux e-mails, aux fausses notifications et au rapprochement des données d’identité.

Plutôt que de cliquer sur les liens d’un message, vous devriez saisir manuellement l’adresse du service concerné ou utiliser l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Les messages concernant des livraisons, l’assistance, des récompenses de jeu, des alertes de compte, des registres publics, des notifications de sécurité, le partage de documents ou le renouvellement d’un abonnement ne devraient pas être acceptés sans vérification par un canal indépendant.

Pour les données issues de registres publics, il est important, à long terme, de surveiller les signes d’usurpation d’identité, de vérifier les opérations de crédit et de suivre régulièrement les demandes déposées auprès des organismes officiels. Vous devriez régulièrement supprimer les anciens comptes, les champs de profil inutiles et les noms d’utilisateur en double, et faire le ménage dans les coordonnées téléphoniques et les adresses obsolètes. Un mot de passe unique pour chaque service et la vérification en deux étapes, partout où elle est possible, devraient être la règle de base.

Du côté des prestataires de services, la minimisation des données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs inutiles et des procédures de notification des utilisateurs prêtes à être activées sont nécessaires. Dans les grands jeux de données comparables aux registres publics, le contrôle des accès, la sécurité des sauvegardes et l’audit des répertoires web ouverts sont essentiels. Décrire précisément le périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent vous conduire à prendre des mesures inadaptées.

Vous devriez d’abord vérifier cette fiche à l’aide de votre adresse e-mail. Si une correspondance est trouvée, vous devriez considérer que vos informations d’identité officielle, d’adresse, de téléphone et d’employeur pourraient être exposées à un risque, et faire preuve d’une vigilance accrue lors des procédures de vérification d’identité. L’absence de correspondance n’exclut pas totalement l’utilisation d’autres adresses e-mail ni la réutilisation d’anciens mots de passe; les comptes critiques devraient également être examinés.

Cette fiche a été vérifiée et son classement comme contenant des données sensibles a été maintenu; elle n’a pas été présentée comme une compromission de comptes liée à une marque précise. Dans cette version, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible a été rédigée en turc dans un texte original, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.