Fuite de données chez Morele.net

Les types de données vérifiés dans la fiche Morele.net sont les adresses e-mail, les noms complets, les mots de passe et les numéros de téléphone. Une adresse e-mail peut constituer un canal privilégié pour envoyer de fausses notifications d'achat, des mises à jour du statut d'une commande, des offres promotionnelles ou des messages de réinitialisation de mot de passe. Un numéro de téléphone accroît le risque de fausses notifications de livraison ou d'usurpation de l'identité du service client par SMS et appels. Le nom complet contribue à rendre ces messages crédibles.

Le champ du mot de passe étant associé au format de hachage md5crypt, le risque peut être plus limité pour les personnes qui utilisent des mots de passe robustes et uniques; il subsiste toutefois un risque de tentatives d'accès aux comptes lorsque les mots de passe sont faibles ou réutilisés. Si le même mot de passe a été utilisé sur des comptes de messagerie, de place de marché, de paiement, de jeux, de réseaux sociaux ou de services cloud, les conséquences dépassent Morele.net. Cette combinaison de données peut rendre les messages frauduleux plus convaincants, en particulier lorsqu'ils s'appuient sur les habitudes d'achat et les attentes de livraison.

• Les adresses e-mail et les numéros de téléphone peuvent servir à envoyer de faux messages liés aux achats.
• Les noms et prénoms rendent l'usurpation de l'identité du service client plus crédible.
• Si le mot de passe est réutilisé, il risque d'être testé sur d'autres comptes.
• Les mots de passe faibles dont le format de hachage est connu peuvent être retrouvés plus facilement.

Le périmètre retenu pour cette fiche se limitait au nom Morele.net, au domaine morele.net, à la date du 10 octobre 2018, aux 2 467 304 comptes concernés et à quatre catégories de données vérifiées. L'incident est associé au service de commerce électronique basé en Pologne. Lors de la vérification, les adresses e-mail, les noms complets, les mots de passe et les numéros de téléphone figuraient dans le même ensemble d'enregistrements. Le stockage des mots de passe sous forme de hachages md5crypt a été relevé afin de comprendre le risque de sécurité.

Les données de carte de paiement, les informations bancaires, l'adresse postale, la date de naissance, le numéro d'identification, l'historique des commandes et l'adresse de livraison ne figuraient pas parmi les catégories de données vérifiées dans la fiche. Les incidents similaires dans le commerce électronique et les autres fiches portant le nom Morele n'ont pas été inclus dans ce document. Les contrôles visant à repérer les doublons ont porté sur le nom de la marque, le nom de domaine, la date, le nombre de comptes concernés et les catégories de données. Cette approche délimitée permet de présenter le risque réel pour l'utilisateur sans donner pour établies des informations sur des champs dont la présence n'est pas étayée.

Le principal groupe à risque est constitué des clients qui possédaient un compte Morele.net avant 2018 ou durant cette année et qui utilisaient la même adresse e-mail pour d'autres services d'achat et de paiement. La présence d'un champ de mot de passe expose davantage les personnes qui utilisent le même mot de passe, ou un mot de passe similaire, sur d'autres comptes. Les utilisateurs qui achètent des produits électroniques en ligne en Pologne et dans les régions voisines peuvent être ciblés par de fausses notifications de livraison, de faux messages de retour ou des appels se faisant passer pour le service client.

Les personnes qui utilisent le même numéro de téléphone depuis longtemps, n'ont pas changé d'adresse e-mail, n'utilisent pas de gestionnaire de mots de passe et n'ont pas activé l'authentification multifacteur sur leurs comptes d'achat sont davantage exposées. En entreprise, les équipes techniques, les équipes chargées des achats et les employés participant à l'approvisionnement en matériel électronique doivent également faire preuve de vigilance. Les attaquants peuvent utiliser de véritables noms, adresses e-mail et numéros de téléphone pour créer de fausses notifications de produits, de faux formulaires de garantie, de fausses confirmations de paiement ou de faux messages d'expédition.

• Clients utilisant un ancien mot de passe sur leur compte Morele.net
• Personnes utilisant la même adresse e-mail et le même numéro de téléphone sur d'autres sites d'achat
• Utilisateurs recourant fréquemment aux services d'achat et de garantie de produits électroniques
• Employés utilisant des identifiants de connexion similaires pour leurs comptes d'achat professionnels et personnels

Si vous obtenez un résultat Morele.net, cessez d'abord définitivement d'utiliser tout mot de passe que vous avez pu employer sur ce compte et choisissez un nouveau mot de passe unique pour chacun des comptes sur lesquels le même mot de passe a été utilisé. Vérifiez en priorité vos comptes de messagerie, vos comptes sur les sites d'achat, les services de paiement, les réseaux sociaux, les services de jeux et les services de stockage cloud. Quelques caractères modifiés ou des variantes proches de l'ancien mot de passe ne constituent pas une solution sûre.

Vérifiez par un canal indépendant les liens de livraison, de retour, de paiement, de garantie ou de promotion reçus par SMS, car le numéro de téléphone a été divulgué. Lorsque cela est possible, activez l'authentification multifacteur sur vos comptes et vérifiez l'historique des connexions ainsi que les appareils connectés. Si vous recevez des messages au nom de Morele.net ou du transporteur vous demandant un mot de passe, un code ou des informations de paiement, interrompez la démarche et vérifiez la demande en passant par le domaine officiel que vous connaissez.

• Changez votre mot de passe Morele.net ainsi que celui de tous les comptes où vous utilisez le même mot de passe.
• Utilisez l'authentification multifacteur sur vos comptes de messagerie et de paiement.
• Ne cliquez pas directement sur les liens contenus dans les messages de livraison, de retour et de garantie.
• Vérifiez les sessions et appareils inconnus ainsi que les notifications de réinitialisation de mot de passe.

Pour vous protéger durablement contre les conséquences de fuites de données dans le commerce électronique, comme celle de Morele.net, cessez de réutiliser vos mots de passe et appliquez des niveaux de protection distincts à vos comptes d'achat. Utilisez un mot de passe différent pour chaque site, un gestionnaire de mots de passe et des adresses e-mail séparées selon leur usage. La fréquence élevée des messages de livraison, de retour et de promotion peut rendre difficile la distinction entre les messages frauduleux et les messages authentiques.

Pour les organisations, cet incident montre que les données d'achat personnelles des employés peuvent passer de la sphère privée aux processus professionnels. Les équipes des achats, du service technique et des entrepôts doivent prévoir une seconde validation face aux faux messages de fournisseurs, aux formulaires de garantie et aux demandes de confirmation de paiement. La sécurité de la messagerie, les avertissements concernant les liens à risque, les règles empêchant la réutilisation des mots de passe et les formations régulières de sensibilisation réduisent les effets indirects de telles fuites de données dans le commerce de détail.

Si vous voyez un résultat Morele.net sur LeakData.io, comparez l'adresse e-mail et le numéro de téléphone correspondants à votre propre historique d'achats. Ce résultat ne signifie pas que vous êtes actuellement un client actif de Morele.net; il indique qu'un enregistrement client datant de 2018 a été exposé. Le champ du mot de passe étant présent, la mesure la plus appropriée consiste à vérifier que l'ancien mot de passe n'est plus valide aujourd'hui sur aucun compte.

Cette fiche conserve son statut vérifié et son périmètre se limite à quatre catégories de données. Plutôt que d'agir comme si les données de carte de paiement ou d'adresse avaient été divulguées, concentrez-vous sur le risque réel lié aux adresses e-mail, aux numéros de téléphone, aux noms complets et aux mots de passe. Vous pouvez réduire considérablement les conséquences de la fuite de Morele.net sur vos comptes actuels en utilisant des mots de passe uniques et l'authentification multifacteur, en vérifiant les demandes par un canal indépendant et en écartant les messages suspects.