Fuite de données chez MC2 Data

Les types de données observés dans cette fiche sont les adresses e-mail, les noms et les mots de passe. Il a été estimé que les mots de passe étaient stockés sous forme de hachages SHA-256 salés; le risque persiste pour les mots de passe faibles ou réutilisés. Les cartes de paiement, comptes bancaires, messages privés, pièces d’identité officielles, dossiers médicaux et autres champs de profil dont la présence n’a pas été vérifiée n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

Dans le contexte du service de vérification des antécédents, ces données peuvent faciliter l’envoi, par des attaquants, de messages qui semblent être des demandes officielles, des vérifications d’identité ou des communications relatives à un abonnement. Une adresse e-mail seule présente un risque de messages non sollicités; lorsqu’elle est associée à un numéro de téléphone, une adresse, une IP, une date de naissance, une photo, un numéro de pièce d’identité ou des données de suivi d’appareil, il devient plus facile pour un attaquant de créer des messages personnalisés à destination de l’utilisateur. Le risque est donc évalué non seulement en fonction du nombre d’enregistrements, mais aussi de la possibilité d’exploiter les données conjointement.

Le périmètre vérifié s’établissait à 2,12 millions d’enregistrements d’abonnés en août 2024. Les éléments confirmés ont été conservés, tandis que les éléments non confirmés ont été exclus. L’incident n’a pas été regroupé avec d’autres marques, des fiches aux noms similaires ou des événements concernant la même entreprise à d’autres périodes.

Les affirmations faisant état d’un éventail plus large de données personnelles n’ont pas été intégrées aux catégories de données canoniques de cette fiche; celle-ci a été limitée aux champs d’adresse e-mail, de nom et de mot de passe des abonnés. Cette approche évite les doublons dans les fiches de fuites de données et l’attribution erronée de responsabilités à des organisations dans les informations présentées aux utilisateurs. Les informations relatives au nom de domaine, au nom de l’entreprise et au secteur ont été conservées dans le cadre exact le plus restreint possible; en cas d’incertitude, l’indicateur de vérification ou le champ du site web a été défini en conséquence.

Les personnes disposant d’un compte d’abonnement auprès de MC2 Data ou de marques associées peuvent faire partie des groupes à risque. Les utilisateurs pour lesquels une correspondance est trouvée devraient également examiner les autres comptes sur lesquels ils utilisent la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou un mot de passe construit sur le même modèle.

Les tentatives de prise de contrôle de comptes ont des conséquences potentielles plus graves pour les personnes qui utilisent le même mot de passe sur d’autres comptes professionnels, financiers ou de messagerie. Le risque d’ingénierie sociale peut augmenter lorsque le contexte implique une adresse e-mail professionnelle, un compte d’enfant ou familial, des documents publics, une identité de jeu, une communauté dédiée à l’alphabétisation, un logiciel de suivi ou un service professionnel. Les utilisateurs ne devraient pas considérer des détails apparemment exacts à leur sujet comme un gage de confiance.

Les utilisateurs concernés devraient changer le mot de passe de leurs comptes liés à MC2 Data ainsi que celui de tous les comptes sur lesquels ce même mot de passe est utilisé. Pour les fiches comportant un champ de mot de passe, tous les comptes utilisant le même mot de passe devraient être mis à jour; pour les fiches sans champ de mot de passe, l’attention devrait porter sur les risques liés au téléphone, aux e-mails, aux fausses notifications et au rapprochement de données d’identité.

Au lieu de cliquer sur les liens d’un message, il convient de saisir manuellement l’adresse du service concerné ou d’utiliser l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Les messages concernant une livraison, l’assistance, des récompenses de jeu, des alertes de compte, des documents publics, des notifications de sécurité, le partage de documents ou le renouvellement d’un abonnement ne devraient pas être considérés comme fiables sans vérification par un canal indépendant.

Pour les services d’intermédiation de données et de vérification des antécédents, il convient d’utiliser une adresse e-mail distincte, un mot de passe unique et de limiter au minimum les informations du profil. Les utilisateurs devraient régulièrement supprimer les anciens comptes, les champs de profil inutiles, les noms d’utilisateur en double ainsi que les numéros de téléphone et adresses obsolètes. Un mot de passe unique pour chaque service et l’authentification à deux facteurs, chaque fois qu’elle est possible, devraient constituer la règle de base.

Du côté des prestataires de services, la minimisation des données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs inutiles et des procédures de notification des utilisateurs prêtes à être mises en œuvre sont nécessaires. Pour les entreprises d’intermédiation de données, le contrôle des accès et la détection des services accessibles sans mot de passe sont des exigences de sécurité fondamentales. Décrire précisément le périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire les utilisateurs à prendre des mesures inadaptées.

L’utilisateur devrait d’abord vérifier si son adresse e-mail figure dans cette fiche. Si une correspondance est trouvée, il convient de considérer que les champs de nom et de mot de passe peuvent être à risque et de mettre à jour en priorité les comptes utilisant le même mot de passe. L’absence de correspondance n’exclut pas complètement l’utilisation d’autres adresses e-mail ou la réutilisation d’anciens mots de passe; les comptes critiques devraient également être examinés.

Cette fiche a été vérifiée et son statut sensible a été maintenu; les nombreux champs personnels non vérifiés n’ont pas été ajoutés. Dans cette présentation, les champs de données ont conservé leurs catégories canoniques en anglais, la description visible par les utilisateurs a été rédigée en turc dans une formulation originale, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.