Muslim Directory Fuite de données

Les catégories de données vérifiées dans cette fiche comprennent des champs relatifs à l’identité, aux coordonnées, à l’adresse, à l’employeur, à la tranche d’âge, à l’activité sur le site et au mot de passe. L’adresse e-mail et le numéro de téléphone peuvent servir à contacter directement la personne. Le nom et l’adresse postale peuvent rendre plus crédibles de faux courriers institutionnels, des demandes de dons, des annonces de services locaux ou des messages frauduleux liés à des livraisons. Le champ relatif à l’employeur peut aider un attaquant à cibler la personne par l’intermédiaire de son lieu de travail ou à préparer des tentatives d’ingénierie sociale plus précises. Le point le plus critique est la présence des mots de passe en clair. Un mot de passe en clair est une information d’authentification directement exploitable, et non une empreinte de hachage qu’il faudrait casser. Par conséquent, si le même mot de passe est réutilisé pour la messagerie, les réseaux sociaux, les achats en ligne ou les systèmes professionnels, le risque de prise de contrôle de comptes augmente.

La date vérifiée de l’incident à retenir est le 17 février 2014, la date d’ajout de la fiche est le 23 février 2014 et le nombre de comptes touchés est de 37 784. Certains rapports relatifs au même incident mentionnent 38 903 identifiants de connexion; le nombre principal présenté à l’utilisateur reste limité aux 37 784 comptes figurant dans la fiche vérifiée de la fuite. Les catégories de données vérifiées sont les tranches d’âge, les adresses e-mail, les employeurs, les noms, les mots de passe, les numéros de téléphone, les adresses postales et l’activité sur le site. L’exposition de données de carte de paiement, de compte bancaire, de document d’identité, de santé ou de contenu de messages privés n’étant pas vérifiée pour cette fiche, ces champs n’y sont pas inclus. Bien que l’incident porte le nom d’un annuaire religieux, la fiche n’est pas classée dans la catégorie des fuites sensibles; une évaluation prudente reste néanmoins nécessaire concernant le harcèlement ciblé, l’hameçonnage et les pressions susceptibles de nuire à la réputation.

Le groupe le plus exposé comprend les personnes qui avaient un compte Muslim Directory en 2014, ont utilisé la même adresse e-mail pendant longtemps et ont réutilisé leur mot de passe sur d’autres services. En raison de la présence du mot de passe en clair, un ancien compte de l’annuaire peut être exploité directement pour tenter de se connecter à différentes plateformes. Les personnes dont l’adresse postale, le numéro de téléphone et les informations sur l’employeur sont connus peuvent recevoir des messages frauduleux plus personnalisés. Le risque est plus élevé pour les propriétaires d’entreprises locales, les prestataires de services, les représentants de communautés et les utilisateurs ayant un profil visible dans l’annuaire : un attaquant peut tenter de tromper la personne en s’appuyant sur ses liens communautaires ou professionnels. Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut également s’étendre à leur compte professionnel. Si une correspondance est trouvée pour vous, examinez donc non seulement votre ancien compte sur ce site, mais aussi tous les comptes critiques ayant utilisé le même mot de passe, en tenant compte de l’historique de vos adresses e-mail.

Si vous constatez une correspondance, essayez d’abord de vous rappeler l’ancien mot de passe de votre compte Muslim Directory, puis changez le mot de passe de tous les comptes qui utilisent un mot de passe identique ou similaire. Les comptes de messagerie, de réseaux sociaux, d’achats en ligne, de services cloud et les comptes professionnels sont à vérifier en priorité. Les nouveaux mots de passe doivent être uniques, longs et générés à l’aide d’un gestionnaire de mots de passe. L’authentification à deux facteurs doit être activée sur tous les services qui la prennent en charge. Pour les messages faisant référence à des numéros de téléphone, à des adresses ou à des informations sur l’employeur, vérifiez le nom de domaine par un canal distinct avant d’ouvrir un lien. Fermez les sessions que vous ne reconnaissez pas et examinez les règles de transfert et de filtrage de votre compte de messagerie. Ne communiquez aucun mot de passe, code de vérification, renseignement de paiement ou document d’identité en réponse à un message suspect.

Cet incident montre que même des comptes anciens sur des annuaires apparemment secondaires peuvent avoir de graves conséquences pour la sécurité des années plus tard. Vous devriez régulièrement passer en revue vos anciens comptes de forums et d’annuaires, vos comptes communautaires et vos comptes d’adhérent, fermer ceux que vous n’utilisez plus ou, au minimum, mettre à jour leurs mots de passe. Il convient de mettre en place une gestion des mots de passe garantissant un mot de passe unique pour chaque service, et de faire des gestionnaires de mots de passe et de l’authentification forte à deux facteurs des pratiques habituelles. Éviter de s’inscrire à des services personnels avec une adresse e-mail professionnelle permet de dissocier le compte professionnel des risques d’ingénierie sociale. Si des informations telles que des numéros de téléphone et des adresses postales ont été divulguées, redoublez de prudence face aux messages portant sur les livraisons, les dons, les services locaux, les institutions publiques ou la vie communautaire. Lorsque des organisations repèrent les adresses e-mail de leurs salariés dans ce type d’anciennes fuites, elles doivent examiner conjointement le risque de réutilisation des mots de passe et la possibilité d’un hameçonnage ciblé.

Une correspondance avec Muslim Directory dans cette fiche indique que l’adresse e-mail associée pourrait figurer parmi les données de comptes de l’annuaire datant de 2014. Cette correspondance ne prouve pas que des données de carte de paiement ou d’identité ont été exposées; le principal risque est l’utilisation potentielle et combinée des mots de passe en clair, des coordonnées et des champs d’adresse. Vous devriez dresser la liste des comptes critiques associés à la même adresse e-mail, remplacer les mots de passe anciens et réutilisés, généraliser l’authentification à deux facteurs et vous méfier des messages d’ingénierie sociale qui utilisent votre numéro de téléphone ou votre adresse pour vous cibler. Il est recommandé aux organisations de traiter cette fiche non comme une nouvelle fuite, mais comme un ancien risque majeur pour la sécurité des comptes, datant de 2014 et impliquant des mots de passe en clair, et d’examiner séparément la réutilisation des mots de passe.