Fuite de données MeetMindful de 2020

Les types de données confirmés dans cette fiche constituent un ensemble étendu, avec des conséquences importantes pour la vie privée. Lorsque l’adresse e-mail, le nom complet, le nom d’utilisateur, l’adresse IP et les informations de localisation géographique sont réunis, le profil de rencontre en ligne d’une personne peut être relié à son identité réelle. La date de naissance et le genre fournissent des éléments supplémentaires pour rapprocher les profils et mener des tentatives d’hameçonnage ciblé. La situation matrimoniale, les croyances religieuses, l’orientation sexuelle, les caractéristiques physiques et les préférences de mode de vie présentent des risques sérieux, non seulement pour la sécurité, mais aussi pour la vie privée et la réputation.

Le stockage du champ du mot de passe sous forme de hachage bcrypt est un point positif. Cela ne dispense toutefois pas les utilisateurs d’agir. Des mots de passe faibles, réutilisés ou déjà apparus dans d’autres fuites peuvent encore faire l’objet de tentatives d’utilisation. Les liens vers les profils sur les réseaux sociaux peuvent servir à accéder aux autres comptes d’une personne, à connaître son cercle d’amis ou à préparer des messages plus convaincants. Une fuite liée à une inscription sur MeetMindful doit donc être considérée non pas comme une simple divulgation de données d’inscription, mais comme une fuite de données sensibles qui touche à la fois la confidentialité du profil de rencontre et la sécurité des comptes.

Le périmètre vérifié doit être évalué à partir du nom de domaine de MeetMindful, de la date de la fuite, le 26 janvier 2020, de la date d’ajout de la fiche, le 31 janvier 2021, et des 1 422 717 comptes touchés. Des registres indépendants et des articles de presse fiables étayent le lien entre l’incident et le service de rencontres en ligne, le stockage des mots de passe sous forme de hachages bcrypt et la présence d’un large éventail de données sensibles dans les champs des profils. Le secteur de l’organisation doit donc être décrit comme celui des rencontres en ligne et d’une communauté axée sur un mode de vie conscient, et non comme celui du commerce de détail. Des fiches d’entreprise fiables établissant un lien avec Denver, dans le Colorado, le champ du pays peut rester renseigné comme étant les États-Unis.

Cette fiche ne doit pas être présentée comme contenant des données de cartes de paiement, de comptes bancaires, le contenu de messages privés ou des données de documents d’identité. Même si certains rapports mentionnent des nombres plus élevés d’enregistrements bruts ou de détails de profils, le nombre retenu pour les vérifications de sécurité des comptes correspond au décompte vérifié des comptes ou adresses e-mail uniques. Cette distinction est importante : le risque présenté à l’utilisateur doit reposer sur les catégories de données vérifiées et sur les correspondances de comptes pouvant être retrouvées par une recherche. Une méthode d’attaque, une identité d’attaquant ou une cause technique non confirmée ne doit pas être présentée comme un élément nécessairement établi de l’incident.

Le risque est le plus élevé pour les utilisateurs qui réutilisent l’adresse e-mail et le mot de passe de leur compte MeetMindful sur d’autres comptes. Pour ces personnes, il convient également de vérifier la messagerie, les comptes de réseaux sociaux, les comptes sur d’autres services de rencontres, les comptes de services cloud et les comptes liés aux paiements. Le risque de rapprochement entre profils augmente pour les personnes qui associent leur profil de rencontre à leur vrai nom, à leur ville, à des liens vers les réseaux sociaux ou à des informations de profil centrées sur les photos. La visibilité de préférences sensibles figurant dans le profil peut être exploitée pour du harcèlement ciblé, des pressions sociales, des tentatives de chantage ou des messages visant à mettre la personne dans l’embarras.

Le risque est plus complexe pour les utilisateurs inscrits avec une adresse e-mail professionnelle, car leur profil de rencontre privé peut être relié à leur identité professionnelle. Les utilisateurs qui se connectent sur des appareils partagés, conservent longtemps leur ancien mot de passe ou associent leur compte à un réseau social doivent également faire preuve de prudence. Les informations de localisation et l’adresse IP ne permettent pas, à elles seules, de déterminer une adresse précise. Toutefois, lorsqu’elles sont examinées avec le nom complet, la ville et les détails du profil, elles peuvent faciliter l’identification de la personne. L’évaluation des risques doit donc prendre en compte non seulement la prise de contrôle d’un compte, mais aussi les conséquences pour la vie privée et les risques d’ingénierie sociale ciblée.

Les utilisateurs pour lesquels une correspondance avec MeetMindful est signalée doivent d’abord changer le mot de passe de ce compte et de tous les autres comptes sur lesquels le même mot de passe a été réutilisé. Le nouveau mot de passe doit être unique, conservé dans un gestionnaire de mots de passe et ne pas être réutilisé sur un autre service. La protection du compte de messagerie est prioritaire, car les liens de réinitialisation des mots de passe, les alertes de sécurité et les notifications de connexion arrivent généralement dans la même boîte de réception. Il faut activer l’authentification à deux facteurs sur ce compte, vérifier les adresses de récupération et fermer les sessions inconnues.

La deuxième étape consiste à examiner les comptes de réseaux sociaux et les noms d’utilisateur similaires associés au profil de rencontre. Les alertes de sécurité envoyées par des personnes inconnues, les demandes de vérification de profil, de photos, d’argent ou d’informations personnelles doivent être considérées comme suspectes. Plutôt que de cliquer sur les liens contenus dans les messages, il faut accéder directement au service concerné. Si vous recevez des messages menaçants faisant référence à des aspects sensibles, comme l’orientation sexuelle, les croyances religieuses, la consommation de substances ou les préférences relationnelles, conservez les preuves sans les supprimer et mettez en place sans délai les mesures de sécurité des comptes.

Cet incident montre que les informations de profil partagées sur les services de rencontres et de découverte de nouvelles personnes peuvent avoir des conséquences pour la sécurité, même des années plus tard. Les utilisateurs doivent régulièrement réduire les informations privées renseignées dans leur profil, limiter les liens vers les réseaux sociaux accessibles au public et éviter de réutiliser le même nom d’utilisateur sur plusieurs comptes. Un gestionnaire de mots de passe facilite la création d’un mot de passe différent pour chaque compte. L’authentification à deux facteurs doit être considérée comme une mesure de sécurité de base, en particulier pour la messagerie, les réseaux sociaux et les comptes de services de rencontres.

Pour les fournisseurs de services, la leçon est que les informations privées des profils de rencontre ne peuvent pas être traitées comme de simples données marketing. Ces données doivent être considérées comme au moins aussi sensibles que les identifiants de connexion. Il faut limiter les droits d’accès, ne pas conserver de données inutiles, nettoyer régulièrement les anciens champs de profil et proposer aux utilisateurs des options de suppression claires. Même si la méthode de hachage des mots de passe est robuste, la notification des utilisateurs après une fuite, le renouvellement des mots de passe, la fermeture des sessions et la surveillance des accès suspects doivent être effectués sans délai. Une notification transparente et le principe de minimisation des données sont des exigences fondamentales de sécurité pour les services contenant des données privées.

Si LeakData vous signale une correspondance avec MeetMindful, considérez-la comme liée à une fuite de données sensibles de profils de rencontre datant de 2020. Cette correspondance ne signifie pas que votre compte est actuellement compromis. Toutefois, votre adresse e-mail, les champs de votre profil, votre nom d’utilisateur, les informations relatives à votre adresse IP et à votre localisation, ainsi que le hachage bcrypt de votre mot de passe peuvent figurer dans cette fiche. La priorité est d’attribuer des mots de passe distincts à tous les comptes qui partagent le même mot de passe, de renforcer la sécurité de votre messagerie et de vérifier les liens avec les réseaux sociaux.

Pour cette fiche, un changement de mot de passe ne doit pas être considéré comme suffisant à lui seul. Il faut également prendre en compte la confidentialité du profil, les rapprochements avec les réseaux sociaux et l’utilisation abusive potentielle de préférences sensibles. Fermez vos anciens profils de rencontre ou réduisez les informations qui y figurent; examinez les informations visibles sur les comptes où vous utilisez le même nom d’utilisateur. Cette fiche est également importante pour les organisations : des audits visant à empêcher les employés de réutiliser les mots de passe de leurs comptes personnels sur leurs comptes professionnels doivent être menés régulièrement, et des politiques d’authentification à deux facteurs doivent être appliquées de manière régulière.