Fuite de données chez MSI

Bien que les types de données répertoriés dans cette fiche ne comprennent pas de mot de passe, ils augmentent le risque d'hameçonnage et de fraude. Une adresse e-mail permet à un attaquant de contacter l'utilisateur; un prénom, un nom et un numéro de téléphone contribuent à donner au message une apparence personnalisée. Une adresse postale peut servir à élaborer de fausses notifications liées à une livraison ou à une procédure de prise en charge. Les détails des demandes de garantie constituent le contexte commercial le plus sensible de cet incident. Un attaquant qui sait pour quel produit matériel l'utilisateur a engagé une procédure de prise en charge peut employer des intitulés très crédibles, par exemple carte graphique, carte mère, ordinateur portable, remplacement de pièce, étiquette d'expédition ou état de la réparation. Ces données ne permettent pas, à elles seules, d'accéder à un compte bancaire; toutefois, lorsque la bonne personne, le bon produit et le bon contexte d'assistance sont réunis, le risque que l'utilisateur soit amené à consulter une fausse page de paiement, à télécharger un fichier malveillant ou à communiquer des informations sur son compte augmente. Le numéro de téléphone offre également un canal de contact supplémentaire, par appel vocal ou SMS. Les personnes dont les données correspondent à cette fiche MSI doivent donc faire preuve d'une vigilance accrue, notamment face aux messages concernant la garantie, les retours, les échanges, l'expédition, les factures et l'assistance technique. Bien que le risque de cassage de mot de passe soit faible, puisque le mot de passe n'a pas été divulgué, des tentatives ciblées sur d'autres services utilisant la même adresse e-mail peuvent être observées.

Le nombre de comptes vérifiés à retenir est de 249 990. La date de l'incident a été confirmée au 7 juillet 2024, et celle de son ajout aux systèmes d'enregistrement au 17 janvier 2025. Le périmètre concerne les dossiers clients associés aux procédures RMA et aux demandes de garantie MSI. Cette fiche ne signifie pas que les mots de passe des comptes MSI, les numéros de sécurité sociale, les informations relatives aux permis de conduire ou les données de cartes de paiement ont été divulgués. Dans des déclarations attribuées à MSI, il a été avancé que l'incident ne concernait pas des types de numéros d'identification plus sensibles susceptibles d'entraîner une obligation de notification, et qu'il n'existait aucune preuve d'accès. Néanmoins, les dossiers clients accessibles au public présentent des risques concrets, notamment en raison des coordonnées et des adresses utilisées dans les procédures de garantie. Si certains articles font état d'un nombre plus élevé de dossiers de garantie, le nombre d'adresses e-mail uniques vérifiées est de 249 990; c'est ce chiffre qui doit servir de référence pour la recherche d'utilisateurs et la mise en correspondance des comptes. Les champs de données doivent également se limiter aux adresses e-mail, aux noms, aux numéros de téléphone, aux adresses postales et aux demandes de garantie. Les champs incertains concernant l'achat du produit ou les détails de sa prise en charge ne doivent pas être ajoutés à la fiche publique; seul le périmètre vérifiable doit être communiqué à l'utilisateur. Cette approche réduit à la fois le risque d'exagérer les faits et celui de minimiser le risque réel.

Le groupe le plus exposé est constitué des clients qui ont déposé, avant 2024 ou autour de cette période, une demande RMA, de garantie, de réparation, de remplacement ou de prise en charge pour des produits MSI. Ces personnes peuvent être ciblées par des messages qui paraissent crédibles quant au modèle du produit et à la procédure de prise en charge. Le deuxième groupe à risque comprend les personnes qui utilisent la même adresse e-mail pour leurs comptes professionnels, leurs comptes de jeu, leurs comptes d'achat ou des services financiers. Même si aucune fuite de mot de passe n'a été confirmée, les attaquants peuvent combiner l'adresse e-mail avec d'autres données pour rendre des tentatives de récupération de compte ou d'hameçonnage plus convaincantes. Le troisième groupe à risque se compose des utilisateurs dont l'adresse postale et le numéro de téléphone n'ont pas changé; ces personnes peuvent recevoir des appels ou des SMS sous prétexte de livraison de colis, de renouvellement de garantie, de remplacement d'appareil ou de frais de prise en charge. Les passionnés de matériel informatique, les joueurs, les assembleurs de PC et les petites entreprises doivent également être vigilants, car les informations de garantie concernant du matériel coûteux peuvent être utilisées dans des scénarios tels que le remplacement par des pièces contrefaites ou des demandes de paiement supplémentaire. Pour les utilisateurs qui ouvrent des demandes de prise en charge avec une adresse e-mail professionnelle, le risque peut aussi s'étendre à l'environnement de travail. Il convient donc de vérifier l'authenticité de tout message d'assistance par un autre moyen, même s'il inspire confiance à l'utilisateur parce que celui-ci a déjà ouvert une demande de prise en charge.

Les utilisateurs dont les données correspondent à cette fiche doivent d'abord vérifier leurs demandes de garantie et de prise en charge MSI des dernières années, et se méfier des e-mails, appels ou SMS inattendus qui s'y rapportent. Face à des messages concernant un paiement, des étiquettes d'expédition, un remplacement d'appareil ou des documents supplémentaires dans le cadre de la garantie, il est préférable de se connecter au compte officiel dans un onglet distinct avant de cliquer sur un lien. Les liens raccourcis, les pièces jointes et les documents contenant des macros reçus par e-mail ne doivent pas être ouverts. Même si l'interlocuteur au téléphone fournit des détails exacts, comme le modèle du produit, l'adresse ou le numéro de la demande de prise en charge, il ne faut pas lui communiquer de données de paiement ou d'identité; il convient de reprendre contact par le canal d'assistance officiel. Les utilisateurs doivent également se méfier des messages qui prétendent provenir de sociétés de livraison, car leurs adresses et numéros de téléphone peuvent avoir été divulgués. Le compte de messagerie doit être protégé par un mot de passe fort et unique, et la validation en deux étapes doit être activée. Même si le mot de passe ne fait pas partie des champs de données vérifiés dans ce cas, la sécurité du compte de messagerie limite les actions ultérieures que pourraient permettre les faux messages d'assistance technique. Sur les comptes de boutiques en ligne et de magasins de matériel informatique créés avec la même adresse e-mail, il convient de vérifier l'historique des commandes, les adresses enregistrées et l'historique des sessions. Les anciennes adresses et les anciens numéros de téléphone devenus inutiles doivent être supprimés des comptes.

L'incident MSI montre que les dossiers d'assistance technique et de garantie doivent eux aussi être considérés comme des données clients de grande valeur. À long terme, les utilisateurs ne doivent fournir que les informations nécessaires dans leurs demandes de prise en charge, envisager d'utiliser une adresse de contact dont ils maîtrisent mieux l'usage plutôt que leur adresse e-mail personnelle, et soumettre les notifications des fabricants de matériel à des vérifications de sécurité spécifiques. L'utilisation d'un gestionnaire de mots de passe, la sécurisation du compte de messagerie et l'activation durable de l'authentification à deux facteurs sont des mesures de protection essentielles. Supprimer les anciennes adresses enregistrées dans les comptes d'achat et de service, mettre à jour les numéros de téléphone qui ne sont plus utilisés et laisser vides les champs de profil inutiles permet également de réduire les risques. Du côté de l'entreprise, le contrôle des accès aux dossiers RMA, les restrictions générales d'indexation, le contrôle des exportations de dossiers, la révision régulière des autorisations et l'examen des journaux sont essentiels. Dans les interfaces du service client, seul le personnel autorisé doit accéder aux données nécessaires, les anciens dossiers doivent être supprimés à l'expiration de leur durée de conservation, et des tests visant à détecter les accès ouverts doivent être réalisés régulièrement. Pour l'utilisateur, l'objectif est de rendre plus difficile l'exploitation des données de prise en charge dans de futures fraudes. Cela passe par la réduction des canaux de communication, la vérification indépendante des demandes reçues et la conservation, dans les comptes, du strict minimum d'informations personnelles nécessaire.

Une correspondance avec la fiche MSI indique que l'adresse e-mail concernée figure dans les dossiers RMA et de garantie tels qu'ils existaient en juillet 2024. Lorsque l'utilisateur voit ce résultat, il doit d'abord vérifier auprès de MSI s'il a déjà effectué des demandes de prise en charge, de retour, de réparation ou de garantie. Si une telle demande existe, les nouveaux messages qui s'y rapportent doivent être examinés avec une attention particulière. Même si le message mentionne correctement le modèle du produit, l'adresse ou le numéro de la demande de prise en charge, ce détail ne doit pas, à lui seul, être considéré comme une preuve de sécurité. Il est plus sûr d'accéder à la page d'assistance officielle en saisissant manuellement son adresse plutôt qu'en suivant un lien. L'utilisateur doit vérifier les paramètres de sécurité de son compte de messagerie, fermer les sessions qu'il ne reconnaît pas et activer l'authentification à deux facteurs. En raison de la divulgation des numéros de téléphone, les demandes reçues par SMS concernant une livraison, une prise en charge ou des frais doivent également être vérifiées par un autre moyen. Les notifications de livraison inattendues, les demandes de paiement à la livraison ou les offres de remplacement d'appareil exploitant la divulgation des adresses postales doivent être considérées comme suspectes. Dans cet incident, aucune fuite de mot de passe n'ayant été confirmée, la priorité est de réduire les risques d'hameçonnage, d'escroquerie au faux support technique et de fraude à la livraison plutôt que de changer le mot de passe. Néanmoins, l'utilisation de mots de passe forts et d'une vérification supplémentaire sur les comptes importants associés à la même adresse e-mail limite les conséquences de tentatives d'attaque ultérieures.