Fuite de données MemeChat de 2022

Même si les catégories de données vérifiées peuvent sembler limitées, l’association d’une adresse e-mail et d’un nom d’utilisateur peut avoir des conséquences importantes pour la sécurité. L’adresse e-mail peut servir à retrouver les comptes de l’utilisateur sur d’autres services, à lui envoyer des messages ciblés ou à effectuer des recoupements avec d’anciennes fuites de données. Le nom d’utilisateur, quant à lui, peut permettre de retrouver le même pseudonyme sur des comptes de réseaux sociaux, de jeux, de forums ou de création de contenu. Sur un service axé sur le contenu et les communautés comme MemeChat, l’association du nom d’utilisateur à une identité visible accroît le risque de rapprochement entre profils.

La présence de mots de passe n’ayant pas été vérifiée dans cette fiche, il convient de ne pas alerter l’utilisateur à tort. Les utilisateurs dont l’adresse e-mail a été divulguée peuvent néanmoins recevoir des messages ciblés : tentatives d’hameçonnage, fausses notifications de récompense, campagnes destinées aux créateurs de contenu, messages de vérification de compte ou offres de collaboration frauduleuses. Il existe également un risque pour la réputation, notamment pour les personnes qui créent du contenu et utilisent le même nom d’utilisateur sur différents réseaux sociaux. Un attaquant peut tenter d’accéder aux véritables profils sociaux de la personne, de créer de faux comptes ou de tromper ses abonnés à l’aide de l’adresse e-mail et du nom d’utilisateur divulgués.

Le périmètre vérifié à prendre en compte comprend le nom de domaine de MemeChat, la date de la fuite, le 1er juin 2022, la date d’ajout de la fiche, le 29 octobre 2023, les 4 348 570 adresses e-mail uniques et les deux catégories de données. Ces catégories se limitent aux adresses e-mail et aux noms d’utilisateur. Certaines fiches indiquent un total d’environ 7,4 millions de lignes. Ce chiffre peut dépasser le nombre d’utilisateurs uniques en raison de doublons ou de lignes supplémentaires dans le jeu de données. Sur LeakData, le principal risque présenté à l’utilisateur doit être établi à partir des correspondances d’adresses e-mail uniques et de noms d’utilisateur.

Aucune donnée relative aux mots de passe, aux adresses IP, aux noms complets, aux numéros de téléphone, aux adresses postales, aux dates de naissance, au contenu des messages ou aux paiements ne doit être ajoutée à cette fiche. Les informations fiables accessibles au public restent limitées quant à la question de savoir si la cause technique est un incident de sécurité interne avéré ou un dépôt de données mal configuré. L’explication présentée à l’utilisateur ne doit donc pas avancer de méthode d’attaque précise, mais décrire les principales conséquences à partir des deux champs de données divulgués. Concernant l’entreprise, les profils professionnels actuels corroborent une activité d’édition en ligne axée sur les mèmes et les contenus sociaux, basée en Inde.

Le risque est le plus élevé pour les personnes qui utilisent la même adresse e-mail sur leur compte MemeChat et sur leurs comptes de réseaux sociaux, de jeux, de forums, de création de contenu et de collaboration. Il est plus facile de relier les profils des personnes qui réutilisent le même nom d’utilisateur sur plusieurs plateformes. Ce point est particulièrement important pour les créateurs de contenu ayant des abonnés, les utilisateurs qui gèrent des pages de mèmes et les personnes qui échangent avec des marques. Une adresse e-mail divulguée peut devenir un outil de ciblage pour de faux accords avec des marques, des avis relatifs aux droits d’auteur, des notifications de paiement ou des messages de vérification de compte.

Les jeunes utilisateurs et les membres de communautés qui utilisent fréquemment des applications mobiles sont également à risque. Ils s’inscrivent souvent à de nombreuses applications sociales avec la même adresse e-mail et peuvent avoir tendance à valider rapidement les notifications de sécurité. Le rapprochement de l’adresse e-mail et du nom d’utilisateur peut permettre de comprendre dans quelles communautés de contenu une personne est active. Ces informations ne constituent pas en elles-mêmes une prise de contrôle du compte. Elles peuvent toutefois fournir suffisamment de contexte pour des tentatives d’hameçonnage ciblé, des envois de spam, des usurpations de profil et de faux messages d’assistance.

Les utilisateurs pour lesquels une correspondance avec MemeChat apparaît doivent avant tout protéger leur compte de messagerie. Le mot de passe de ce compte doit être unique, l’authentification à deux facteurs doit être activée et les sessions inconnues doivent être fermées. La présence de mots de passe n’ayant pas été vérifiée dans cette fiche, il ne faut pas supposer que tous les mots de passe ont été divulgués. Il convient néanmoins d’examiner les notifications de sécurité des comptes importants qui utilisent la même adresse e-mail. La prudence est de mise face aux messages contenant des liens qui semblent provenir de MemeChat ou d’applications sociales similaires.

La deuxième étape consiste à vérifier où le même nom d’utilisateur est réutilisé. Il convient de passer en revue les informations de profil des comptes de réseaux sociaux, de jeux, de forums et de création de contenu ouverts sous ce même nom, de limiter la visibilité de l’adresse e-mail lorsqu’elle n’est pas nécessaire et de se méfier des faux messages d’assistance. Les e-mails concernant une collaboration avec une marque, la monétisation, des récompenses, des plaintes pour atteinte aux droits d’auteur ou des menaces de suppression de compte ne doivent pas recevoir de réponse sans vérification préalable par les canaux officiels. Si un message contenant un lien demande de remplir un formulaire de connexion, il faut accéder au service concerné directement depuis la barre d’adresse.

Cet incident montre que, même si le mot de passe n’est pas divulgué, l’association de l’adresse e-mail et du nom d’utilisateur peut être utilisée à mauvais escient. Les utilisateurs doivent réfléchir aux comptes qui peuvent être reliés entre eux lorsqu’ils réutilisent le même pseudonyme sur différents services sociaux. Pour les créateurs de contenu, utiliser une adresse e-mail de contact distincte, ne pas afficher leur adresse personnelle sur leur profil public et vérifier les demandes de collaboration par un autre canal réduit le risque à long terme. Un gestionnaire de mots de passe et l’authentification à deux facteurs sont des mesures essentielles pour éviter qu’une compromission du compte de messagerie n’entraîne des compromissions en chaîne.

Le principe de minimisation des données est important pour les fournisseurs de services. Les applications communautaires et de contenu ne doivent pas multiplier inutilement les copies de champs pourtant simples en apparence, comme l’adresse e-mail et le nom d’utilisateur. Elles doivent limiter les droits d’accès et vérifier régulièrement que les listes de données ne sont pas accessibles sur des systèmes exposés à l’extérieur. Les notifications destinées à l’utilisateur doivent indiquer clairement quels champs de données sont touchés, lesquels ne le sont pas et quelles mesures il doit prendre. Donner à tort l’impression qu’un mot de passe a été divulgué est aussi problématique que fournir des avertissements insuffisants.

Si une correspondance avec MemeChat apparaît sur LeakData, considérez-la comme une fuite de données de 2022 concernant une plateforme de contenu social, portant sur les adresses e-mail et les noms d’utilisateur. Une correspondance ne signifie pas que votre mot de passe figure dans cette fiche. La priorité est de sécuriser votre compte de messagerie, de vérifier les profils sociaux qui utilisent le même nom d’utilisateur et de vous méfier des faux messages de vérification dans votre boîte de réception. Si votre compte MemeChat est toujours actif, examinez ses paramètres, l’adresse e-mail associée et les informations visibles sur votre profil.

La démarche la plus utile pour cette fiche consiste à effectuer des vérifications de sécurité centrées sur votre adresse e-mail. Utilisez un mot de passe fort et unique pour votre compte de messagerie, activez l’authentification à deux facteurs et vérifiez les options de récupération. Recherchez d’éventuels faux profils ou risques d’usurpation sur les comptes où vous utilisez le même nom d’utilisateur. Si vous recevez une offre de marque suspecte, une notification promettant des gains, un avertissement relatif aux droits d’auteur ou un message de fermeture de compte, vérifiez-le par les canaux officiels sans cliquer sur le lien. Pour les organisations, il est également nécessaire que les employés ne mélangent pas les adresses e-mail utilisées pour leurs applications sociales personnelles avec leurs comptes professionnels et qu’ils bénéficient régulièrement de formations sur l’hameçonnage par e-mail.