Violation de données chez Match Group: données des utilisateurs de Hinge

Selon le document déposé par Match Group auprès de la Securities and Exchange Commission des États-Unis, les attaquants ont utilisé l’ingénierie sociale pour pénétrer dans le réseau d’entreprise. D’après des analyses techniques indépendantes, un compte d’entreprise a permis d’accéder à un environnement d’analyse marketing AppsFlyer.

La société a déclaré avoir mis fin à l’accès non autorisé et mené une enquête avec des experts externes. Match Group a contesté l’affirmation de l’attaquant selon laquelle celui-ci avait accédé à des fichiers sur Google Drive et Dropbox.

Le périmètre confirmé comprend un ensemble limité d’informations sur les utilisateurs ainsi que des données de suivi ou d’analyse marketing décrivant l’utilisation des applications. Les éléments issus des sources relatives à l’incident étayent également la présence d’adresses e-mail parmi les données concernées.

Match Group a indiqué n’avoir trouvé aucune preuve d’un accès aux identifiants de connexion, aux informations financières ou aux communications privées. Ces catégories ne sont donc pas incluses dans cette fiche de violation de données.

La société n’a pas divulgué le nombre total de personnes touchées. Le chiffre de 10 millions avancé par l’acteur malveillant désigne des enregistrements d’utilisation, et non un nombre vérifié de personnes distinctes.

Le nombre de personnes touchées est donc indiqué comme inconnu. Aucun nombre de personnes n’a été déduit des enregistrements répétés dans les sources ni des valeurs au format d’adresse e-mail.

Les adresses e-mail, combinées à des informations sur l’utilisation d’applications de rencontres, peuvent accroître les risques d’hameçonnage ciblé, d’usurpation de compte et d’association non souhaitée d’une personne à l’utilisation d’une application de rencontres.

Les données de suivi ne sont pas équivalentes au contenu des messages privés, mais elles peuvent néanmoins fournir des éléments sur l’activité dans les applications et les interactions avec les campagnes. L’incident est donc considéré comme sensible.

La société a déclaré avoir mis fin à l’accès, mené une enquête avec des experts externes et commencé à informer les personnes concernées lorsque cela était approprié. Son document réglementaire indique également que l’incident n’a pas eu d’effet défavorable significatif sur ses résultats d’activité.

Si vous recevez une notification officielle d’une application de Match Group, vérifiez les types de données concernés indiqués dans votre notification. Vérifiez l’authenticité des e-mails inattendus contenant des détails sur l’utilisation d’une application ou sur une campagne avant d’ouvrir les liens.

Bien que la société n’ait trouvé aucune preuve d’un accès aux identifiants de connexion, si vous réutilisez des mots de passe, adoptez des mots de passe uniques et activez l’authentification multifacteur.