mSpy (2024) Fuite de données

Dans cette fiche, les catégories de données vérifiées sont les adresses e-mail, les adresses IP, les noms et les photos. Le rapprochement d’une adresse e-mail et d’un nom peut permettre de relier une personne au service de surveillance. L’adresse IP fournit des indices sur la localisation approximative de la connexion, le fournisseur d’accès au réseau et le contexte de la session. Les photos accentuent le caractère sensible de l’incident, car les échanges avec les équipes d’assistance sont davantage susceptibles de contenir des images liées à l’identité ou au paiement, des captures d’écran, des images privées ou des images de l’écran de l’appareil, ce qui augmente les risques. Les demandes d’assistance peuvent révéler l’intention de l’utilisateur d’installer un logiciel de surveillance sur l’appareil ciblé, de résoudre des problèmes d’accès ou d’utiliser des fonctions de suivi. Même si ces contenus ne comprennent pas directement de mots de passe de comptes, ils peuvent relier la personne à un contexte très sensible. Des attaquants peuvent utiliser ces données pour des tentatives d’extorsion, de fausses interventions d’assistance technique, des menaces juridiques, de fausses demandes de paiement ou des messages ciblés d’ingénierie sociale. La personne ayant acheté le service risque de voir sa réputation atteinte, tandis que le propriétaire de l’appareil ciblé peut être exposé à une surveillance sans son consentement. L’évaluation des risques ne doit donc pas se limiter à la sécurité de la messagerie : le contexte des photos et des échanges avec le support doit également être pris en compte.

La date vérifiée de l’incident est le 9 juin 2024, sa date d’enregistrement est le 11 juillet 2024 et le nombre de comptes vérifiés est de 2 394 179. La date de dernière vérification doit être indiquée comme étant le 12 juillet 2024. Les catégories de données sont les adresses e-mail, les adresses IP, les noms et les photos. Bien que les demandes d’assistance jouent un rôle important dans la description de l’incident, elles ne figurent pas comme champ distinct parmi les catégories de données de référence. La liste dataClasses doit donc se limiter à ces quatre champs vérifiés. Des sources d’information rapportent un volume de données de l’ordre de centaines de gigaoctets, comprenant des données utilisateur, des demandes d’assistance et de nombreux fichiers joints. Cette fiche ne signifie pas que des numéros de carte de paiement, des mots de passe ou des documents officiels d’identité ont été divulgués pour tous les utilisateurs en tant que catégories vérifiées. Certains fichiers supplémentaires peuvent contenir des images plus sensibles; toutefois, la présentation générale des champs de données dans la fiche publique ne doit pas aller au-delà des catégories établies. Les indications relatives au pays diffèrent selon que l’on considère la marque, l’exploitant ou la société mère. Le champ pays doit donc rester défini sur Inconnu, plutôt que d’affirmer un lieu d’implantation précis. Cette fiche doit rester distincte de celle de la fuite de 2015 concernant le suivi de l’utilisation des appareils. Si cette page apparaît dans les résultats d’une recherche effectuée par un utilisateur, l’évaluation doit porter sur l’incident de 2024 lié à l’assistance et aux fichiers supplémentaires.

Le groupe le plus exposé comprend les personnes qui ont ouvert une demande d’assistance auprès du service mSpy ou utilisé une adresse e-mail associée au service en 2024. Ces personnes peuvent être directement reliées au service de surveillance par les échanges avec le support, les noms, les adresses IP et les photos jointes. Le deuxième groupe à risque comprend les personnes susceptibles d’être propriétaires d’un appareil ciblé. Si, dans une demande d’assistance, un utilisateur a sollicité de l’aide concernant l’accès, l’installation ou les fonctions de surveillance sur l’appareil d’une autre personne, le jeu de données peut également affecter la vie privée de cette personne. Le troisième groupe à risque comprend les personnes dont des images, des images d’écrans de paiement, des images de pièces d’identité, des photos privées ou des images de l’écran de leurs appareils figurent dans les fichiers supplémentaires. Des attaquants peuvent exploiter ces contenus à des fins de chantage et de harcèlement. Le quatrième groupe à risque comprend les personnes qui utilisent des appareils professionnels, des comptes familiaux ou des appareils partagés. Le contenu des demandes d’assistance peut révéler indirectement des échanges professionnels, une localisation, des listes de contacts ou des éléments relatifs à des relations privées. Dans cette fiche, une correspondance d’adresse e-mail ne renvoie qu’au titulaire du compte du service. Toutefois, compte tenu de la nature de l’incident, le propriétaire de l’appareil ciblé peut également avoir été affecté. Cette distinction doit rester claire dans les informations communiquées à l’utilisateur.

Les utilisateurs pour lesquels une correspondance avec cette fiche est détectée doivent d’abord sécuriser leur compte de messagerie. Ils doivent mettre fin aux sessions qu’ils ne reconnaissent pas, vérifier les adresses et numéros de téléphone de récupération, choisir un mot de passe fort et unique et activer l’authentification à deux facteurs. Si la même adresse e-mail est utilisée pour d’autres services sensibles, l’historique des sessions de ces comptes doit également être examiné. En raison des fichiers supplémentaires, des photos ou des échanges pouvant être liés à une demande d’assistance mSpy, les utilisateurs doivent se méfier des faux messages d’assistance, des menaces juridiques, des e-mails de chantage et des demandes de paiement. Ils ne doivent pas ouvrir les liens contenus dans ces messages ni envoyer d’argent, et doivent conserver les contenus menaçants comme preuves. Les personnes qui soupçonnent la présence d’un logiciel de surveillance sur leur appareil doivent vérifier les autorisations d’administration, les droits d’accessibilité, les profils et certificats inconnus, les paramètres de partage de localisation, les comptes de sauvegarde et toute consommation inhabituelle de données. En cas de risque pour la sécurité personnelle, le nettoyage de l’appareil ne doit pas être effectué à la hâte, mais planifié avec un expert de confiance ou un service d’aide local. Dans certains cas, supprimer immédiatement l’application de suivi peut alerter l’autre partie. Il peut donc être plus approprié de mettre d’abord en place un moyen de communication sûr et un réseau de soutien.

Cet incident montre que les dossiers d’assistance des logiciels de surveillance doivent eux aussi être considérés comme faisant partie des catégories de données les plus sensibles. À long terme, les utilisateurs doivent utiliser une adresse e-mail distincte pour les services présentant des risques élevés pour la vie privée, éviter de transmettre des pièces jointes inutiles au support et vérifier attentivement leur contenu avant d’envoyer des photos ou des captures d’écran. Le compte de messagerie doit être protégé par un mot de passe fort et une authentification à deux facteurs, les autorisations des appareils doivent être régulièrement examinées et le partage de localisation doit rester limité. Si l’utilisation d’outils de suivi est envisagée sur des appareils professionnels, familiaux ou partagés, le cadre légal, le consentement explicite et la durée de conservation des données doivent être clairement définis. La surveillance à l’insu des personnes ne doit pas être considérée comme une mesure de sécurité normale. Du côté des prestataires de services, les demandes d’assistance et les fichiers joints doivent être traités comme des données hautement sensibles. Les journaux d’accès doivent être régulièrement examinés, la conservation inutile de fichiers doit être réduite, le principe du moindre privilège doit être appliqué aux interfaces d’assistance et le signalement des incidents ne doit pas être retardé. Du côté des utilisateurs, une protection durable passe par la fermeture des anciens comptes d’assistance, la réduction de l’historique des fichiers joints, la vérification régulière de la sécurité des appareils et le choix de canaux de confiance pour les communications sensibles. Cette approche réduit à la fois le risque de prise de contrôle des comptes et les risques de chantage et de harcèlement.

Une correspondance avec la fiche mSpy de 2024 indique que l’adresse e-mail concernée figure parmi les dossiers associés à l’incident de 2024 lié à l’assistance et aux fichiers supplémentaires. Lorsqu’un utilisateur voit ce résultat, il doit d’abord déterminer s’il a ouvert un compte mSpy ou une demande d’assistance. Si une telle demande existe, les fichiers ajoutés, le contenu des échanges et les appareils associés doivent être examinés. La sécurité de la messagerie doit être vérifiée et, si d’anciens mots de passe sont encore valides sur d’autres comptes, ils doivent être changés. La divulgation de photos ou d’échanges avec le support impose de se méfier des tentatives d’extorsion et des fausses notifications à caractère juridique. Les personnes qui soupçonnent une surveillance de leurs appareils doivent rechercher, sur leurs téléphones, tablettes ou ordinateurs, des autorisations d’administration inconnues, des autorisations d’accessibilité, des partages de localisation, des comptes de sauvegarde et une consommation inhabituelle de données. En cas de risque pour la sécurité personnelle, l’utilisateur ne doit pas effectuer cette vérification seul : elle doit être réalisée avec l’aide d’un expert technique de confiance, d’un avocat ou d’une ligne d’assistance. Ce résultat étant sensible, ses implications sociales et juridiques doivent être prises en compte avant de le partager avec d’autres personnes. L’objectif n’est pas seulement de nettoyer l’ancien compte, mais de réduire simultanément les risques liés à la sécurité de la messagerie, à l’intégrité des appareils, à la sécurité personnelle et aux fichiers sensibles.