Money Bookers Fuite de données

Les types de données vérifiés dans cette fiche sont les dates de naissance, les adresses e-mail, les adresses IP, les noms complets, les numéros de téléphone et les adresses postales. Les adresses e-mail et les numéros de téléphone peuvent servir à contacter directement l’utilisateur. Le nom complet et l’adresse postale peuvent rendre plus crédibles des messages contenant de fausses factures, annonçant de fausses livraisons, prétextant une vérification du compte de paiement ou usurpant l’identité du service client. La date de naissance présente, quant à elle, un risque distinct pour les questions de récupération de compte, les procédures de vérification des clients et les tentatives de rapprochement de profils.

L’adresse IP donne à l’utilisateur un indice supplémentaire sur le contexte de ses anciennes sessions et, lorsqu’elle est combinée à d’autres champs de données, accroît le risque de ciblage géographique. Puisque les mots de passe et les données de carte de paiement ne sont pas vérifiés dans cette fiche, un simple changement de mot de passe n’est pas considéré comme une mesure de protection suffisante : le principal risque réside dans l’utilisation combinée des données personnelles à des fins de fraude et d’ingénierie sociale. Les liens reçus au nom de services financiers, les demandes inattendues de contrôle de compte et les appels visant à vérifier votre identité doivent être traités avec prudence.

• Les adresses e-mail et les numéros de téléphone augmentent le risque de messages et d’appels ciblés.
• Le nom complet, la date de naissance et l’adresse, lorsqu’ils sont réunis, augmentent le risque d’usurpation d’identité.
• L’adresse IP peut fournir des indices supplémentaires sur le contexte des anciens accès au compte.
• Les faux contacts du service client et les tentatives de vérification de compte sur des thèmes financiers peuvent être plus convaincants.

La fiche Money Bookers porte sur un incident remontant à 2009, limité à 4 483 605 clients concernés et à six catégories de données vérifiées. Elle est associée à l’ancienne marque Money Bookers. Le fait que le service ait ensuite pris le nom de Skrill impose de tenir compte de la marque actuelle dans la présentation de l’incident, mais ne change pas la date de la fuite. Cette distinction est expressément maintenue afin d’éviter de faire glisser la date affichée aux utilisateurs vers la période de l’annonce en 2015 ou de la rattacher au nom actuel de l’entreprise.

Les mots de passe, les questions de sécurité, les soldes des comptes, l’historique des transactions, les données de carte de paiement, les comptes bancaires et les numéros de document n’ont pas été ajoutés aux catégories de données vérifiées dans cette fiche. Des incidents distincts ayant pu concerner différents services de paiement au cours de la même période, la fiche Money Bookers n’a été fusionnée ni avec celle d’une autre marque ni avec celle d’une autre fuite. La recherche de doublons s’est appuyée sur le nom, le domaine, le nombre d’enregistrements, la date, les catégories de données et le lien entre l’ancienne et la nouvelle marque du service. Cette fiche représente donc uniquement le périmètre des données clients vérifiées associées au domaine moneybookers.com.

Le groupe le plus exposé est constitué des personnes qui possédaient un compte Money Bookers avant 2009 ou au cours de 2009 et qui ont ensuite utilisé les mêmes coordonnées pour des comptes Skrill, Paysafe, bancaires, de paiement, de commerce en ligne ou de jeu. Comme de nombreux utilisateurs conservent longtemps le même numéro de téléphone et la même adresse e-mail pour leurs services financiers, des données anciennes peuvent servir à cibler des comptes actuels, même des années plus tard. Si la date de naissance et l’adresse restent inchangées, le risque est encore plus durable.

Les travailleurs indépendants, les personnes qui vendent en ligne, les utilisateurs qui reçoivent des paiements de l’étranger, les personnes utilisant des portefeuilles numériques sur des plateformes de jeu ou de paris et les clients de services de transfert d’argent international doivent être particulièrement vigilants. En entreprise, lorsque les adresses e-mail utilisées par les salariés pour leurs services de paiement personnels recoupent leurs adresses professionnelles, des risques de fausses factures, de demandes de paiement frauduleuses et d’usurpation de l’identité de fournisseurs peuvent apparaître. Même si cette fiche ne contient pas de mot de passe, les conséquences ne doivent pas être sous-estimées, compte tenu du fort potentiel d’exploitation par ingénierie sociale.

• Particuliers utilisant des services de paiement et possédant un ancien compte Money Bookers
• Personnes conservant le même numéro de téléphone et la même adresse e-mail sur leurs comptes financiers
• Clients utilisant un compte de paiement à l’étranger, de portefeuille numérique ou de commerce en ligne
• Salariés utilisant des coordonnées similaires pour leurs comptes de paiement professionnels et personnels

Si ce résultat s’affiche pour vous, commencez par consulter votre historique Money Bookers ou Skrill et par déterminer sur quels comptes financiers vous avez utilisé la même adresse e-mail et le même numéro de téléphone. Examinez l’historique des sessions, les appareils enregistrés et les alertes de transactions récentes de vos comptes de messagerie, portefeuilles numériques, comptes bancaires, moyens de paiement, comptes d’achat en ligne et comptes de transfert d’argent international. Redoublez de vigilance face aux messages annonçant une vérification de compte inattendue, aux faux appels du service client et aux demandes de paiement urgentes.

Même si les mots de passe ne font pas partie des données vérifiées, utilisez des mots de passe uniques et l’authentification multifacteur pour vos comptes critiques. Ne communiquez à personne les codes à usage unique envoyés sur votre numéro de téléphone et n’ouvrez pas les liens transmis par des interlocuteurs qui prétendent représenter un service financier. Votre adresse et votre date de naissance ayant pu être divulguées, les réponses aux questions de vérification d’identité peuvent devenir faciles à deviner. Choisissez des méthodes de vérification supplémentaires lorsque cela est possible et maintenez vos informations de récupération de compte à jour.

• Vérifiez les comptes financiers ouverts avec votre adresse e-mail, votre numéro de téléphone et votre adresse postale.
• Activez l’authentification multifacteur sur vos comptes critiques.
• Vérifiez par un canal indépendant le code reçu par téléphone, les liens et les demandes de vérification de compte.
• Archivez les messages suspects concernant un paiement, une livraison ou le service client, puis signalez-les au prestataire du service.

Dans les anciennes fuites touchant des services financiers, comme celle de Money Bookers, le risque ne disparaît pas complètement avec le temps. L’adresse e-mail, le numéro de téléphone, l’adresse postale et la date de naissance sont des données durables; ces informations peuvent être réutilisées dans différents scénarios de fraude des années plus tard. Pour vous protéger à long terme, gardez les notifications de transactions activées sur vos comptes financiers, supprimez les appareils que vous ne reconnaissez pas, vérifiez régulièrement vos coordonnées et privilégiez la vérification par application lorsqu’elle est disponible.

Pour les organisations, cette fiche montre également que les données financières personnelles des salariés peuvent avoir des répercussions sur les processus de l’entreprise. Une seconde validation est nécessaire au sein des équipes de comptabilité, de paiement, d’achat et de service client face aux messages contenant de fausses demandes de paiement, des modifications de factures ou des prétextes de vérification d’identité. La sensibilisation des salariés, la gestion sécurisée des mots de passe, les contrôles de sécurité des e-mails et la formation aux liens à risque sont particulièrement efficaces contre les tentatives d’ingénierie sociale sur des thèmes financiers. Une surveillance continue est importante, car des données anciennes peuvent retrouver de la valeur dans de nouveaux scénarios d’attaque.

Si un résultat Money Bookers s’affiche sur LeakData.io, comparez l’adresse e-mail et les autres éléments de contact indiqués dans la fiche avec l’historique de vos propres comptes. Ce résultat ne signifie pas que vous possédez actuellement un compte Money Bookers actif; il indique que des informations clients datant de 2009 ont été exposées ultérieurement. La démarche la plus pertinente consiste donc non seulement à vous remémorer l’ancien nom du service, mais aussi à examiner tous les comptes financiers associés à la même adresse e-mail, au même numéro de téléphone et à la même adresse postale.

Cette fiche ayant été vérifiée, prenez le résultat au sérieux. Il convient toutefois de ne pas aller au-delà des catégories de données vérifiées : plutôt que d’agir comme si un mot de passe, une carte de paiement ou un compte bancaire avait été divulgué, concentrez-vous sur le risque d’ingénierie sociale lié aux données personnelles. L’activation des notifications de compte, l’utilisation de l’authentification multifacteur et la confirmation des sollicitations suspectes par un canal indépendant peuvent réduire considérablement les répercussions actuelles de la fuite de Money Bookers.