Fuite de données MobiFriends de 2020

Pour cet incident, les catégories de données vérifiées sont les dates de naissance, les adresses e-mail, les genres, les mots de passe et les noms d’utilisateur. Les numéros de téléphone, les adresses postales, les cartes de paiement, le contenu des messages privés et les informations de localisation précise ne font pas partie des champs vérifiés pour cette fiche. La présence conjointe d’une adresse e-mail et d’un nom d’utilisateur augmente le risque de rapprochement avec d’autres comptes sur les réseaux sociaux. Le genre et la date de naissance apportent des informations supplémentaires sur le profil de l’utilisateur dans le contexte d’une application de rencontres. Pour les personnes utilisant des mots de passe faibles, les empreintes MD5 augmentent le risque que ces mots de passe soient retrouvés ou testés sur d’autres services.

Les données des applications de rencontres revêtent une importance particulière pour la vie privée. Même si le compte a été créé il y a longtemps, la combinaison de l’adresse e-mail, du nom d’utilisateur, du genre et de la date de naissance peut aider à identifier la personne. Des attaquants peuvent contacter l’utilisateur sous couvert de faux messages de rencontre, d’alertes de sécurité du compte, de vérification du profil ou de fermeture d’un ancien compte. La présence d’empreintes de mots de passe accroît encore le risque si le même mot de passe, ou une variante construite de manière similaire, est utilisé sur d’autres comptes. Cette fiche appelle donc à la prudence, tant pour la sécurité des comptes que pour la protection de la vie privée.

La date vérifiée retenue pour l’incident est le 6 janvier 2020; la date d’ajout de la fiche et de modification de la source est le 23 mai 2021. Le nombre d’adresses e-mail uniques est de 3 512 952. Les catégories de données se limitent à la date de naissance, à l’adresse e-mail, au genre, au mot de passe et au nom d’utilisateur. Le champ des mots de passe doit être compris comme contenant des empreintes MD5. Pour cette fiche, les numéros de téléphone, les adresses postales, les informations de paiement, les messages privés, les photos, la localisation en temps réel et les documents d’identité ne font pas partie des catégories de données vérifiées.

Une bonne compréhension du périmètre est essentielle pour formuler les recommandations destinées aux utilisateurs. Une correspondance positive ne prouve pas que l’ensemble du contenu du profil de rencontre ou des messages privés de l’utilisateur figure dans ce jeu de données. Toutefois, la date de naissance, le genre, le nom d’utilisateur, l’adresse e-mail et les empreintes de mots de passe constituent ensemble un profil suffisamment sensible. L’utilisation de l’application à des fins de rencontre a des conséquences plus importantes sur la vie privée qu’un simple compte sur un forum. Cette fiche doit donc être signalée comme contenant des données sensibles, et les recommandations doivent porter à la fois sur les mots de passe et sur la confidentialité du profil.

Les personnes les plus exposées sont celles qui ont créé un compte sur MobiFriends et utilisé la même adresse e-mail sur d’autres applications de rencontres ou réseaux sociaux. L’utilisation du même nom d’utilisateur sur plusieurs plateformes augmente le risque de rapprochement des profils. Les champs relatifs à la date de naissance et au genre peuvent donner à de faux messages une apparence personnalisée. Les utilisateurs qui ont oublié leurs anciens comptes sont également à risque, car ils peuvent avoir continué à utiliser sur d’autres services les mêmes schémas de mots de passe qu’il y a plusieurs années.

Les personnes qui réutilisent leurs mots de passe courent un risque supplémentaire. Les empreintes MD5 n’étant pas considérées comme robustes, les mots de passe faibles peuvent être devinés plus facilement. Si vous avez utilisé le même mot de passe pour votre messagerie électronique, vos réseaux sociaux, vos services de messagerie instantanée, vos comptes d’achat ou vos comptes financiers, une ancienne fuite de données de MobiFriends pourrait affecter la sécurité de vos comptes actuels. Le contexte d’une application de rencontres peut aussi être exploité pour vous mettre dans l’embarras, simuler des échanges amoureux, vous menacer de prendre le contrôle de vos comptes ou vous envoyer des messages demandant des informations personnelles. En cas de correspondance positive, vous devez donc vérifier non seulement vos mots de passe, mais aussi la confidentialité de vos communications et la visibilité de vos profils sur les réseaux sociaux.

Si vous trouvez une correspondance dans cette fiche, vous devez désormais considérer le mot de passe que vous avez pu utiliser sur votre compte MobiFriends comme non fiable. Si vous utilisez le même mot de passe ou un mot de passe similaire sur d’autres services, choisissez un mot de passe unique pour chaque compte. Donnez la priorité à vos comptes de messagerie électronique, de réseaux sociaux, de messagerie instantanée et d’applications de rencontres, ainsi qu’aux comptes associés à un moyen de paiement. Activez l’authentification multifacteur sur les comptes qui la prennent en charge, fermez les sessions actives et vérifiez les informations de récupération. Conserver l’ancien mot de passe en lui apportant de légères modifications ne suffit pas.

Faites preuve de prudence face aux messages concernant des applications de rencontres ou d’anciens comptes. Un message ne doit pas être considéré comme fiable simplement parce qu’il contient votre véritable adresse e-mail, votre nom d’utilisateur, votre date de naissance ou votre genre. Ne cliquez pas sur les liens de messages évoquant une vérification de profil, une fermeture de compte, une notification de correspondance, une alerte de sécurité ou une menace liée à une photo privée; effectuez la vérification en saisissant manuellement l’adresse connue du service. N’envoyez aucun paiement, ne partagez pas de codes de vérification et ne communiquez pas d’informations personnelles en réponse à des messages suspects.

À long terme, utiliser pour les applications de rencontres et les applications sociales une adresse e-mail distincte de celle de votre compte principal réduit les risques pour votre vie privée. Utiliser le même nom d’utilisateur sur toutes les plateformes peut être pratique, mais augmente le risque de rapprochement des profils. Passez régulièrement en revue vos anciens comptes de rencontres, réduisez les informations visibles sur les profils que vous n’utilisez plus et fermez ces comptes si possible. Des champs comme la date de naissance, le genre et le nom d’utilisateur peuvent sembler anodins, mais leur rapprochement avec d’autres jeux de données peut aider à identifier une personne.

La sécurité des mots de passe exige des habitudes durables. Un gestionnaire de mots de passe facilite la création de mots de passe uniques pour chaque compte sur une application de rencontres ou un réseau social. L’authentification multifacteur doit rester activée sur votre compte de messagerie électronique, vos moyens de récupération doivent être tenus à jour et les alertes de connexion inattendues doivent être prises en compte. Les fuites de données d’applications de rencontres peuvent porter atteinte à la vie privée même en l’absence de données financières. Votre stratégie de sécurité ne doit donc pas se limiter à changer vos mots de passe : examinez aussi régulièrement la visibilité de vos profils, vos liens sur les réseaux sociaux et vos canaux de communication.

Une correspondance dans cette fiche indique que l’adresse e-mail figure parmi les adresses vérifiées du jeu de données MobiFriends. Elle ne prouve pas que le numéro de téléphone, l’adresse postale, la carte de paiement, les messages privés ou les photos sont inclus dans ce jeu de données. Les champs vérifiés sont la date de naissance, l’adresse e-mail, le genre, les empreintes MD5 des mots de passe et les noms d’utilisateur. En tenant compte de cette limite, vous devez à la fois cesser de réutiliser vos mots de passe et évaluer le risque pour votre vie privée dans le contexte de l’application de rencontres.

La première étape consiste à identifier les comptes qui utilisent la même adresse e-mail et des mots de passe construits de manière similaire. Adoptez ensuite des mots de passe uniques pour vos comptes de messagerie électronique, de réseaux sociaux, d’applications de rencontres et de messagerie instantanée, activez l’authentification multifacteur et vérifiez les sessions actives. Les messages concernant d’anciens comptes de rencontres et évoquant une vérification de profil ou une alerte de sécurité doivent être vérifiés par un canal distinct. Cette fiche présente les champs de données vérifiés sans exagération et vous propose des mesures concrètes pour sécuriser vos mots de passe, protéger la confidentialité de vos profils et vous prémunir contre les risques d’ingénierie sociale.