Fuite de données chez Moneycontrol

Les types de données vérifiés dans la fiche Moneycontrol sont les adresses e-mail, les informations sur le genre, les informations de localisation géographique, les mots de passe et les numéros de téléphone. Une adresse e-mail peut servir à envoyer à l’utilisateur une fausse alerte concernant son compte, une notification de marché, une demande de vérification de portefeuille ou un message de réinitialisation de mot de passe. Le numéro de téléphone augmente le risque de prise de contact directe par appel ou SMS. Les informations de localisation géographique peuvent permettre un ciblage selon le pays, la ville ou le contexte régional de l’utilisateur.

Le champ du mot de passe est l’élément le plus critique de cette fiche. Les sources mentionnant des mots de passe en clair, le risque ne se limite pas au compte Moneycontrol si la personne concernée a utilisé le même mot de passe sur un autre service. Les informations sur le genre et la localisation peuvent rendre plus convaincantes de fausses recommandations d’investissement ou des escroqueries par message portant sur les finances personnelles. Cette combinaison de données rend particulièrement nécessaires des contrôles supplémentaires dans les applications financières, les comptes de suivi boursier, les comptes de messagerie et les services de paiement.

• La combinaison d’une adresse e-mail et d’un mot de passe facilite les tentatives de prise de contrôle de comptes.
• Le numéro de téléphone peut être utilisé pour de faux appels d’assistance et des pièges par SMS.
• Les informations de localisation géographique peuvent rendre plus convaincants des messages financiers adaptés à une région.
• Les informations sur le genre peuvent compléter un profil dans des scénarios d’ingénierie sociale ciblée.

Cette fiche se limite à 762 874 comptes touchés, au domaine moneycontrol.com et à cinq catégories de données vérifiées. Bien que la date et l’heure exactes du premier accès lors de l’incident ne soient pas précisées, il est supposé que le fichier de données remonte à septembre 2017 et que les données sont devenues visibles en 2021. La date retenue pour la fuite est donc le 7 septembre 2017, conformément à la trace du fichier, plutôt que la date de mise en vente en 2021. La date d’ajout correspond à l’inscription de cette fiche dans les listes de vérification le 22 mai 2021.

Cette fiche ne comprend pas, parmi les champs vérifiés, de données de carte de paiement, de compte bancaire, de numéro d’identification, d’adresse physique, d’historique de transactions, de portefeuille d’investissement ou de solde de compte d’investissement. Bien que la date de naissance apparaisse dans certaines descriptions, elle n’a pas été ajoutée à la liste des champs principaux, car elle ne figure pas dans l’ensemble des catégories de données vérifiées. Cette distinction permet de présenter le risque réel sans alarmer inutilement l’utilisateur. Des recherches de doublons ont été effectuées à partir du titre, du nom du champ, de la date, du nombre de comptes touchés et des catégories de données.

Le principal groupe à risque comprend les utilisateurs qui possédaient un compte Moneycontrol avant ou vers 2017 et qui continuent d’utiliser la même adresse e-mail pour leurs comptes liés à la finance, à l’investissement, à l’actualité, au suivi boursier, aux paiements ou aux réseaux sociaux. La présence d’un champ de mot de passe expose davantage les personnes qui réutilisent le même mot de passe ailleurs. Les utilisateurs qui suivent particulièrement la Bourse et l’actualité financière peuvent être ciblés par de faux conseils en investissement, des demandes de vérification de portefeuille ou des messages urgents de vérification de compte.

Les personnes qui utilisent leur numéro de téléphone pour des services financiers, conservent la même adresse e-mail pendant longtemps, n’utilisent pas de gestionnaire de mots de passe et n’ont pas activé l’authentification multifacteur dans leurs applications financières doivent redoubler de prudence. En entreprise, si les données personnelles Moneycontrol d’employés des équipes de finance, de comptabilité, de relations avec les investisseurs, de médias, de recherche ou de vente recoupent leur adresse e-mail ou leur numéro de téléphone professionnels, le risque de fausses demandes de paiement, de faux rapports de marché ou de fausses demandes de clients peut augmenter.

• Les membres de Moneycontrol qui utilisent le même mot de passe sur plusieurs comptes
• Les personnes qui renseignent leurs coordonnées téléphoniques et leur adresse e-mail dans des services financiers
• Les utilisateurs actifs qui s’intéressent à la Bourse, aux investissements et à l’actualité des marchés
• Les employés qui utilisent des coordonnées similaires pour leurs comptes professionnels et leurs comptes financiers personnels

Si vous obtenez un résultat relatif à Moneycontrol, cessez d’abord complètement d’utiliser le mot de passe de ce compte et choisissez un nouveau mot de passe unique pour chacun des comptes qui utilisent le même mot de passe ou un mot de passe similaire. Vérifiez en priorité vos comptes de messagerie, vos applications financières, vos plateformes d’investissement, vos services de paiement, vos réseaux sociaux et vos comptes de stockage dans le cloud. Modifier un seul caractère du mot de passe n’est pas considéré comme sûr; privilégiez un mot de passe long et distinct pour chaque service.

Si votre numéro de téléphone a été divulgué, vérifiez par un canal indépendant les liens reçus par SMS concernant un investissement, un crédit, un paiement, une alerte boursière ou une vérification de compte. Lorsque c’est possible, activez l’authentification multifacteur sur vos comptes, examinez l’historique des sessions et les appareils connectés, puis fermez les sessions inconnues. Ne donnez pas suite aux demandes de mots de passe, de codes ou de paiements formulées par des personnes qui vous appellent en prétendant représenter Moneycontrol ou un service financier. L’utilisation d’un gestionnaire de mots de passe est le moyen le plus pratique d’éliminer les mots de passe réutilisés.

• Changez votre mot de passe Moneycontrol ainsi que celui de tous les comptes qui utilisent le même mot de passe.
• Activez l’authentification multifacteur sur vos comptes de messagerie et vos comptes financiers.
• Vérifiez par un canal indépendant les liens liés aux investissements reçus par SMS ou par téléphone.
• Vérifiez l’historique de vos sessions, vos appareils connectés et les alertes de connexion inattendues.

Les données divulguées provenant de plateformes axées sur la finance, comme Moneycontrol, conservent longtemps leur valeur. Une combinaison d’adresse e-mail, de numéro de téléphone, de localisation et de mot de passe peut encore servir, des années plus tard, à l’hameçonnage, à de faux conseils en investissement, à des messages sur le thème de la manipulation des marchés ou à des tentatives de test d’accès aux comptes. Il est donc nécessaire de tenir régulièrement à jour l’inventaire de vos mots de passe, de fermer les comptes inutilisés, de réserver des adresses e-mail distinctes aux différents usages et de privilégier l’authentification par application pour les comptes financiers critiques.

Pour les organisations, cette fiche montre que les fuites de données personnelles des employés peuvent avoir des répercussions sur les processus de l’entreprise. Les équipes qui travaillent avec l’actualité financière et les données de marché doivent recourir à une seconde validation pour se prémunir contre les liens vers de faux rapports, les fichiers d’investissement en pièce jointe, les demandes de redirection de paiements et les tentatives de confirmation par téléphone. La sensibilisation à la sécurité, les contrôles empêchant la réutilisation des mots de passe, les passerelles de messagerie sécurisées et les alertes sur les liens à risque réduisent les conséquences de tels incidents.

Si vous voyez un résultat relatif à Moneycontrol sur LeakData.io, comparez l’adresse e-mail et les coordonnées téléphoniques correspondantes avec l’historique de vos propres comptes. Ce résultat ne signifie pas que vous possédez aujourd’hui un compte Moneycontrol actif; il indique toutefois que le compte figurant dans le fichier de données divulguées de 2017 est devenu visible en 2021. La bonne démarche consiste donc à vérifier que l’ancien mot de passe n’est plus valide sur aucun de vos comptes actuels et à ajouter une couche de sécurité à vos comptes financiers.

Cette fiche conserve son statut vérifié, sans que son périmètre soit étendu à des éléments qui n’en font pas partie. Plutôt que d’agir comme si des données de carte de paiement, de compte bancaire, d’adresse physique ou de portefeuille d’investissement avaient été divulguées, concentrez-vous sur le risque réel lié aux adresses e-mail, aux numéros de téléphone, à la localisation, au genre et aux mots de passe. Vous pouvez réduire sensiblement les conséquences de la fuite Moneycontrol sur vos comptes actuels en utilisant des mots de passe robustes, l’authentification multifacteur et des vérifications par un canal indépendant, et en prenant l’habitude de rejeter les communications suspectes.