Fuite de données Mathway de 2020

La fiche de référence répertorie des informations sur les appareils, des adresses e-mail, des noms, des mots de passe et des profils de réseaux sociaux. Le jeu de données mis en vente comprenait également des noms et des identifiants Google et Facebook. L’enquête de l’entreprise a confirmé précisément l’acquisition d’adresses e-mail de connexion et d’empreintes de mots de passe salées ; aucun mot de passe en clair n’a été obtenu.

L’entreprise a déclaré n’avoir aucune raison de penser que les données de cartes bancaires ou d’autres informations personnelles avaient été touchées, et a précisé que les informations de paiement des abonnements étaient stockées dans un système distinct. Les numéros de téléphone, les adresses postales, les coordonnées bancaires et les pièces d’identité ne font pas partie des catégories de données dont l’exposition est vérifiée pour cette fiche.

La date de référence de la fuite est le 13 janvier 2020. Après la mise en vente des données en mai 2020, l’entreprise a fait appel à une société de sécurité, a confirmé leur acquisition non autorisée le 15 mai et a imposé une réinitialisation du mot de passe aux utilisateurs se connectant après le 22 mai. Le point d’entrée technique exact n’a pas été divulgué dans les éléments publics disponibles; aucune vulnérabilité précise ni aucun auteur de l’attaque ne sont donc présentés comme des faits établis.

Les personnes ayant réutilisé leur mot de passe Mathway pour des comptes liés aux études, à la messagerie, aux réseaux sociaux ou au travail sont les plus exposées. Les adresses e-mail, les noms et les identifiants de profils sociaux associés peuvent servir à des tentatives d’hameçonnage ciblées, tandis que les informations sur les appareils peuvent rendre de fausses alertes de sécurité plus convaincantes. Les empreintes de mots de passe salées sont mieux protégées que les mots de passe en clair, mais les mots de passe faibles restent vulnérables aux attaques hors ligne visant à les deviner.

Remplacez votre ancien mot de passe Mathway ainsi que celui de tous les comptes utilisant le même mot de passe ou un mot de passe similaire. Utilisez un mot de passe unique pour chaque service, sécurisez d’abord votre compte de messagerie et activez la vérification en deux étapes lorsqu’elle est disponible. Vérifiez les messages de réinitialisation de mot de passe ou relatifs à votre abonnement en vous rendant directement sur le site Mathway, plutôt qu’en suivant des liens.

Utilisez un gestionnaire de mots de passe pour générer un mot de passe différent pour chaque compte et évitez de mélanger inutilement vos adresses e-mail scolaires, professionnelles et personnelles entre les services. Examinez régulièrement vos anciens comptes liés aux études, fermez ceux que vous n’utilisez plus et maintenez à jour les connexions via les réseaux sociaux ainsi que les options de récupération.

Vérifiez si vos données figurent dans cette fiche à l’aide de l’adresse e-mail que vous utilisiez pour Mathway. Une correspondance signifie que des informations sur votre appareil, votre adresse e-mail, votre nom, une empreinte de mot de passe ou un identifiant de profil social peuvent figurer dans le jeu de données; cela ne signifie pas que votre carte bancaire a été touchée. Si le résultat est positif, cessez de réutiliser vos mots de passe et vérifiez les sessions de votre compte de messagerie ainsi que ses paramètres de récupération.