Données attribuées à tort à Habib's

Les catégories de données observées dans cette fiche sont les dates de naissance, les adresses e-mail, les adresses IP, les noms, les numéros de téléphone et les profils sur les réseaux sociaux. Les mots de passe, les cartes de paiement, les comptes bancaires, les documents d'identité officiels et l'historique des commandes clients ne font pas partie des champs vérifiés. La présence conjointe d'une adresse e-mail, d'un nom et d'un numéro de téléphone crée un risque de prises de contact ciblées. La date de naissance et le profil sur les réseaux sociaux peuvent faciliter le rapprochement entre l'identité réelle d'une personne et ses profils en ligne. Les adresses IP peuvent fournir des indices limités sur la localisation approximative de la connexion et le contexte technique de la session.

Une attribution erronée modifie l'évaluation du risque. Il ne faut pas vous affirmer que les données proviennent avec certitude du système de gestion des clients de Habib's. Toutefois, la présence de votre adresse e-mail dans ce jeu de données peut accroître le risque d'hameçonnage, de faux messages de service client, d'escroqueries téléphoniques et de ciblage sur les réseaux sociaux. Des attaquants peuvent tenter de vous convaincre en utilisant abusivement le nom d'une marque. Le risque tient donc moins à la mise en cause de la responsabilité de la marque qu'aux risques pour votre identité et la sécurité de vos communications résultant de la combinaison des champs de données.

La date vérifiée retenue pour l'événement est le 5 août 2021, la date d'ajout de la fiche est le 10 mars 2024 et la date de modification de la source est le 25 mai 2024. Le nombre d'adresses e-mail uniques est de 3 517 679. Cette fiche ne correspond pas à une fuite de données confirmée au sein de l'entreprise; le champ isVerified doit donc rester à false. Comme il n'a pas été vérifié que le jeu de données appartient aux bases de données clients de Habib's, les informations sur le secteur d'activité ou le pays de l'entreprise ne doivent pas être interprétées directement comme attestant une fuite de données au sein d'une chaîne de restaurants. La classification la plus exacte est celle d'un ensemble de données clients attribué à tort et d'un jeu de données non vérifié.

Il est particulièrement important de respecter les limites de ce périmètre. Cette fiche n'indique ni que tous les clients de Habib's sont touchés, ni que des données de paiement ont été divulguées, ni qu'une extraction de données depuis les systèmes de l'entreprise est avérée. Les champs vérifiés se limitent à la date de naissance, à l'adresse e-mail, à l'adresse IP, au nom, au numéro de téléphone et au profil sur les réseaux sociaux. Bien que ces champs de données soient significatifs, l'origine de l'incident reste incertaine. Les recommandations qui vous sont adressées doivent donc porter davantage sur les risques généraux d'hameçonnage, de fraude téléphonique et de rapprochement de profils sur les réseaux sociaux que sur la sécurité de votre compte auprès de l'entreprise.

Les principales personnes à risque sont celles dont l'adresse e-mail figure dans ce jeu de données. Cette fiche ne permet pas de prouver qu'une personne est effectivement cliente de Habib's. Toutefois, des champs tels que le nom, le numéro de téléphone, la date de naissance et le profil sur les réseaux sociaux peuvent aider des attaquants à rédiger des messages plus personnalisés. Les personnes qui utilisent le même numéro de téléphone depuis longtemps, qui publient leur vrai nom et leur date de naissance sur les réseaux sociaux ou qui utilisent couramment leur adresse e-mail pour des comptes d'achat ou de service client peuvent être davantage ciblées.

Même si les données sont attribuées à tort, il existe un risque de fraude utilisant le nom d'une marque. Méfiez-vous des sollicitations concernant des réductions, la vérification de compte, des campagnes promotionnelles, la livraison, le paiement ou la mise à jour de données personnelles dans les messages envoyés au nom de Habib's ou de tout autre service client. Les personnes dont les données comprennent des liens vers leurs profils sur les réseaux sociaux peuvent être ciblées par de faux comptes d'assistance ou des messages personnalisés ressemblant à des publicités. Si une correspondance est trouvée pour vous, votre vigilance doit donc porter sur tous vos canaux de communication, et non sur votre seul compte auprès d'une marque.

Si vous trouvez une correspondance dans cette fiche, commencez par examiner attentivement les messages inattendus reçus par e-mail et par téléphone. Même si un message contient votre vrai nom, votre numéro de téléphone ou votre date de naissance, ne le considérez pas comme fiable pour autant. Pour les messages contenant des liens et concernant une campagne promotionnelle, une livraison, une adhésion, une vérification de compte ou un paiement, saisissez vous-même l'adresse web connue pour accéder directement au site, ou utilisez le canal de communication officiel de l'organisme. Lors de demandes reçues par téléphone, ne communiquez pas votre date de naissance, vos informations d'identité, vos coordonnées de carte de paiement ni vos codes de vérification.

Le champ relatif aux mots de passe n'étant pas vérifié, cette fiche ne justifie pas à elle seule une réinitialisation de mot de passe. Votre compte de messagerie reste néanmoins un point essentiel pour votre sécurité : activez l'authentification multifacteur, maintenez vos moyens de récupération à jour et examinez les alertes de connexion inattendues. Si vos profils sur les réseaux sociaux sont publics, vérifiez les informations personnelles visibles et vos paramètres de confidentialité. Vérifiez les liens courts reçus par téléphone et les appels de faux services clients en passant par un autre canal.

Face à des jeux de données attribués à tort, la stratégie à long terme consiste à limiter le regroupement de données personnelles plutôt qu'à se concentrer sur la marque. Ne renseignez pas votre adresse e-mail, votre numéro de téléphone, votre date de naissance et votre profil sur les réseaux sociaux sur des comptes dont vous n'avez pas besoin. Ne laissez pas non plus votre date de naissance, votre numéro de téléphone ou vos coordonnées visibles sur d'anciens profils. Restreindre la visibilité grâce aux paramètres de confidentialité des réseaux sociaux, retirer les numéros de téléphone des profils publics et utiliser des adresses e-mail distinctes selon les usages permet de réduire le risque.

Pour les entreprises, ces fiches soulignent l'importance d'une gestion rigoureuse de l'attribution des données. Lorsqu'un jeu de données est associé à tort à une marque, les utilisateurs doivent être informés du risque réel sans être induits en erreur par des affirmations non vérifiées concernant cette marque. De votre côté, une protection durable passe par la sécurisation de votre compte de messagerie, la vigilance face aux escroqueries téléphoniques, la limitation de la visibilité de vos profils sur les réseaux sociaux et la vérification, par un autre canal, des messages demandant des données personnelles. Ainsi, même lorsque la source des données est incertaine, la sécurité de vos communications et de votre identité est renforcée.

Une correspondance dans cette fiche indique que votre adresse e-mail figure parmi les adresses uniques du jeu de données attribué à tort. Elle ne prouve ni que vous êtes client de Habib's, ni que les données ont été obtenues depuis les systèmes de Habib's. Les champs vérifiés sont la date de naissance, l'adresse e-mail, l'adresse IP, le nom, le numéro de téléphone et le profil sur les réseaux sociaux. En tenant compte de cette limite, concentrez-vous davantage sur la sécurité de vos communications personnelles et le risque de rapprochement de profils que sur la mise en cause de la responsabilité de la marque.

La première étape consiste à faire preuve de prudence face aux messages suspects reçus par e-mail et par téléphone. Vérifiez ensuite les paramètres de confidentialité de vos réseaux sociaux, la visibilité de votre date de naissance et de votre numéro de téléphone, ainsi que la sécurité de votre compte de messagerie. Activez l'authentification multifacteur sur ce compte, examinez les alertes de connexion inattendues et vérifiez par un autre canal les messages demandant des informations personnelles. Cette fiche vous propose des mesures concrètes fondées sur les champs de données effectivement présents, tout en maintenant la distinction liée à leur attribution erronée.