Fuite de données de Modern Business Solutions en 2016

Les catégories de données vérifiées comprennent les dates de naissance, les adresses e-mail, les informations sur le genre, les adresses IP, les intitulés de poste, les noms, les numéros de téléphone et les adresses postales. Le croisement de ces champs permet de dresser un profil détaillé de l’identité réelle d’une personne, de ses moyens de communication, de sa localisation et de son contexte professionnel. Les adresses et les numéros de téléphone peuvent servir à des appels frauduleux, les adresses e-mail à des messages d’hameçonnage, et les dates de naissance ainsi que les adresses postales à deviner les réponses aux questions d’authentification.

La présence de mots de passe n’ayant pas été confirmée, cet incident ne doit pas être considéré comme une fuite de liste de mots de passe. Le risque n’en est pas pour autant réduit : lorsque les données personnelles sont recoupées avec des mots de passe, des noms d’utilisateur ou des informations de paiement provenant d’autres fuites, le profil dont dispose l’attaquant devient plus détaillé. Lorsque l’intitulé de poste et le contexte lié à l’employeur sont connus, de faux messages concernant des offres, des factures, des livraisons, un recrutement ou le service client peuvent paraître plus convaincants.

Le périmètre se limite à l’incident daté du 8 octobre 2016 et à 58 843 488 comptes touchés. Le domaine confirmé est modbsolutions.com. L’ajout et la dernière modification datent du 12 octobre 2016. Les catégories de données se limitent strictement aux champs vérifiés; elles ne comprennent pas de mots de passe, d’informations de carte de paiement, de coordonnées bancaires, de numéros de sécurité sociale, de données de santé ni d’identifiants officiels.

Cet incident est analysé dans le contexte du stockage de données et de l’hébergement de bases de données. Il n’est pas possible de déterminer clairement, pour chaque utilisateur, à qui appartiennent les données, de quels clients elles proviennent ou dans le cadre de quelle relation commerciale elles sont conservées. L’explication porte donc sur les catégories de données personnelles identifiables et sur le risque concret pour l’utilisateur, sans donner davantage de poids à des affirmations non confirmées sur l’appartenance de ces données.

Le premier groupe à risque comprend les personnes dont l’adresse e-mail apparaît avec leur numéro de téléphone, leur adresse postale et leur date de naissance. Pour ces utilisateurs, de faux messages concernant une livraison, des opérations bancaires, une assurance, des services d’eau ou d’énergie, l’assistance client ou la vérification d’un compte peuvent devenir plus convaincants. Pour les personnes dont l’intitulé de poste est connu, les fausses demandes de fournisseurs, les messages de prise de contact professionnel ou les tentatives de modification des modalités de paiement d’une entreprise présentent un risque distinct.

Le deuxième groupe comprend les utilisateurs qui emploient la même adresse e-mail sur différents services et dont les informations personnelles ont déjà été exposées lors d’autres incidents. Le rapprochement de plusieurs jeux de données permet de réunir la date de naissance, l’adresse postale, le numéro de téléphone et l’adresse e-mail; cela facilite l’exploitation des questions de récupération de compte, les tentatives de vérification par téléphone et le rattachement des données à une identité. L’ancienneté des données ne les rend pas inoffensives, car des informations comme l’adresse et la date de naissance peuvent rester valables longtemps.

Si une correspondance est trouvée pour vos données, vous devriez vérifier toute demande inattendue de mise en relation, de livraison, de document, de paiement ou de vérification de compte reçue par e-mail ou par téléphone, en passant directement par un autre canal de confiance. Ne communiquez pas d’informations personnelles dans des échanges qui semblent provenir de banques, de transporteurs, d’assureurs, de services publics ou de contacts professionnels. Vérifiez l’historique des connexions, les adresses de récupération et les règles de transfert de votre compte de messagerie.

Même si la présence de mots de passe n’a pas été confirmée dans cet incident, vous devriez renforcer la sécurité de vos comptes si vous utilisez la même adresse e-mail sur d’autres services. Des mots de passe uniques, un gestionnaire de mots de passe et l’authentification multifacteur devraient constituer les précautions de base. Si votre numéro de téléphone et votre adresse ont été exposés, prévenez également votre famille et vos collègues du risque de faux appels et de fraudes exploitant votre adresse.

À long terme, il est important de réduire la visibilité des données personnelles. Vous devriez faire le ménage dans vos anciens comptes et supprimer les champs de profil inutiles, utiliser des adresses e-mail distinctes selon les usages et ne pas communiquer votre numéro de téléphone aux services qui ne l’exigent pas. Les informations durables comme l’adresse postale, la date de naissance et les données professionnelles sont difficiles à modifier; il faut donc tenir compte de leur possible utilisation dans de futures tentatives d’ingénierie sociale.

Pour les organisations, la leçon porte sur la minimisation des données et le contrôle des durées de conservation. Lorsque des jeux de données concernant des clients, des candidats, des salariés ou des tiers sont conservés sans nécessité, une seule fuite peut toucher des millions de personnes. Les droits d’accès, les contrôles des services exposés à l’extérieur, l’inventaire des données, les politiques de suppression et les procédures de signalement des incidents devraient être réexaminés régulièrement.

Si vous constatez une correspondance, vous devriez examiner les champs répertoriés par ordre de priorité. L’adresse e-mail peut servir à l’hameçonnage et à des tentatives d’accès aux comptes, le numéro de téléphone à de faux appels, l’adresse postale et la date de naissance au rattachement des données à votre identité, et l’intitulé de poste à l’ingénierie sociale en entreprise. Il est donc nécessaire de vérifier non seulement un compte, mais aussi les autres services associés aux mêmes informations.

L’incident de Modern Business Solutions est une fuite de données aux conséquences importantes qui ne concerne pas les mots de passe, mais qui réunit de nombreux champs de données personnelles durables. Le risque à long terme lié à cet incident est considérablement réduit lorsque vous utilisez un mot de passe unique, sécurisez efficacement votre messagerie, activez l’authentification multifacteur, vérifiez les communications suspectes par un second canal et limitez les données de profil inutiles.