Fuite de données MEO de 2020

Dans cette fiche, l’identifiant client, les coordonnées et l’historique des achats sont réunis dans un même jeu de données. En combinant l’adresse e-mail, le nom complet, le numéro de téléphone et l’adresse postale, il est possible d’envoyer des messages concernant une livraison, un retour, un paiement, une garantie ou des informations sur un produit qui paraissent crédibles à l’utilisateur. Les informations d’achat peuvent révéler les préférences d’une personne en matière de masques et de filtres. Le nom d’utilisateur peut aider à établir un lien avec les comptes de cette même personne sur d’autres sites de commerce en ligne ou forums.

Le fait que les données de mots de passe soient au format de hachage MD5 de WordPress est particulièrement important. Cela ne signifie pas que les mots de passe sont en clair; toutefois, cet ancien format de hachage n’offre pas une résistance suffisante lorsque les mots de passe sont faibles. Les mots de passe courts, présents dans des dictionnaires, contenant des informations personnelles ou réutilisés sur d’autres services sont plus faciles à deviner. Le risque associé à la fiche MEO ne se limite donc pas à un compte client sur un site marchand : si les mêmes habitudes en matière de mots de passe s’appliquent aux comptes de messagerie, d’achat, de réseaux sociaux ou professionnels, une compromission en chaîne de ces comptes est possible.

Le périmètre vérifié comprend le domaine meoair.com, la date de la fuite du 24 décembre 2020, la date d’ajout du 24 avril 2023 et 8 227 dossiers clients concernés. Des sources fiables identifient MEO comme une entreprise de masques de protection basée en Nouvelle-Zélande. Il est donc plus exact d’indiquer la Nouvelle-Zélande plutôt que les États-Unis comme pays de l’entreprise, et les masques de protection et le commerce en ligne plutôt que le commerce de détail général comme secteur d’activité. Le site est actuellement accessible et propose des ventes en ligne ainsi que des pages de produits.

Pour cette fiche, les numéros de carte de paiement, les comptes bancaires, les documents d’identité, les dates de naissance et les données de santé sensibles ne font pas partie des catégories de données vérifiées. Des informations d’achat sont présentes, mais elles ne doivent pas être confondues avec des données de carte de paiement. En l’absence de source publique précise et détaillée sur la cause technique, l’explication doit se limiter aux champs de données vérifiés et aux conséquences pour les utilisateurs. L’information selon laquelle l’organisation n’a pas répondu aux tentatives de notification peut être conservée dans une note de source interne; dans la partie destinée aux utilisateurs, l’essentiel est de préciser quelles données ont été exposées, quels risques en découlent et quelles mesures sont nécessaires.

Les clients qui réutilisent le mot de passe de leur compte MEO sur d’autres comptes sont les plus exposés. Les personnes qui utilisent la même combinaison d’adresse e-mail et de mot de passe pour leur messagerie, d’autres sites marchands, des services de livraison ou des comptes liés aux paiements doivent notamment prendre des précautions rapidement. Les dossiers clients contenant des adresses postales et des numéros de téléphone peuvent rendre plus convaincants les faux appels et messages prenant une livraison pour prétexte. Le nom d’utilisateur peut également permettre d’établir des liens avec d’anciens dossiers provenant de sites de commerce en ligne ou de forums.

Les clients qui achètent des masques de protection et des filtres peuvent être exposés à des publicités ciblées, à de fausses campagnes promotionnelles et à des fraudes au retour de produits, en raison de leurs besoins périodiques en produits de santé ou de protection. L’historique des achats peut aider les attaquants à rédiger des objets de message qui semblent personnalisés, comme « votre commande », « votre adresse de livraison », « votre demande de retour » ou « votre abonnement au remplacement des filtres ». Même si ce jeu de données peut sembler limité, la combinaison des adresses, des numéros de téléphone, des informations d’achat et des mots de passe accroît le risque concret pour l’utilisateur.

Si une correspondance avec MEO vous est signalée, commencez par changer le mot de passe de votre compte MEO ainsi que celui de tous les comptes sur lesquels vous utilisez le même mot de passe ou un mot de passe similaire. Les nouveaux mots de passe doivent être uniques et conservés dans un gestionnaire de mots de passe. Protégez en priorité votre compte de messagerie, car les liens de réinitialisation de mot de passe et les notifications de commande arrivent généralement dans la même boîte de réception. Activez l’authentification à deux facteurs sur ce compte, vérifiez les options de récupération et fermez les sessions inconnues.

Compte tenu des adresses, des numéros de téléphone et des informations d’achat exposés, méfiez-vous des messages prenant pour prétexte une expédition, un retour, des filtres pour masques, une garantie, une annulation de commande ou une vérification de paiement. Plutôt que d’ouvrir un formulaire de connexion à partir d’un lien contenu dans un message, rendez-vous directement sur le site concerné. Si l’on vous demande un numéro de commande, une adresse, des informations de paiement ou un code de sécurité lors d’un appel téléphonique, interrompez la démarche et vérifiez la demande par le canal de communication officiel de l’organisation. Si vous recevez une notification de commande ou d’expédition suspecte, conservez une capture d’écran et ne remettez pas à plus tard les mesures de sécurité des comptes.

Cet incident montre que même de petits jeux de données clients peuvent entraîner des risques de plusieurs natures. Ne réutilisez pas le même mot de passe pour vos comptes d’achat, ne laissez pas vos adresses de livraison enregistrées sur des services où elles ne sont pas nécessaires et fermez les comptes clients sur des sites marchands que vous n’utilisez plus. Pour ces comptes, il est important de maintenir à jour les adresses e-mail, les numéros de téléphone et les adresses postales, tout en limitant les informations conservées au strict minimum. Un gestionnaire de mots de passe apporte une couche de protection supplémentaire au compte de messagerie tout en générant des mots de passe robustes et uniques.

Pour les prestataires de services, le format de hachage des mots de passe, la minimisation des données et la gestion des notifications sont des enjeux essentiels. Les anciens formats de hachage reposant sur MD5 doivent être abandonnés au profit de méthodes robustes de stockage des mots de passe, et les données clients inutiles ne doivent pas être conservées longtemps. Dans le commerce en ligne, les informations d’achat, les adresses et les numéros de téléphone doivent être protégés par un accès restreint; lorsqu’un signalement de sécurité est reçu, il convient de procéder rapidement à une vérification et d’en informer les utilisateurs. La confiance des clients se préserve non seulement lors de la vente, mais aussi dans la gestion de la sécurité des données et de la communication après une fuite.

Si vous voyez une correspondance avec MEO sur LeakData, considérez-la comme liée à une fuite de données clients survenue en 2020 dans le commerce en ligne de masques de protection. Cette correspondance indique que votre adresse e-mail, votre nom complet, votre numéro de téléphone, votre adresse postale, vos informations d’achat, votre nom d’utilisateur et votre mot de passe au format de hachage MD5 de WordPress ont pu figurer dans ce jeu de données. La première étape consiste à attribuer un mot de passe distinct à chacun des comptes sur lesquels vous utilisez le même mot de passe et à renforcer la protection de votre compte de messagerie.

Pour cette fiche, soyez particulièrement attentif aux risques de fraude liés aux livraisons et aux commandes. Les messages contenant des détails tels que l’adresse de livraison, un produit filtrant, une commande de masques ou une demande de retour ne doivent pas être considérés comme fiables, même s’ils semblent personnalisés. Vérifiez le domaine avant d’ouvrir un lien, ne saisissez pas d’informations dans des formulaires demandant des données de paiement ou des codes de sécurité, et mettez fin aux appels suspects. La leçon est également claire pour les organisations : il est nécessaire d’empêcher les employés de réutiliser les mots de passe de leurs comptes d’achat sur leurs comptes professionnels et d’organiser régulièrement des formations sur l’hameçonnage par e-mail.