Muslim Match Fuite de données

Les types de données confirmés dans ce dossier comprennent les champs de nom d’utilisateur, d’adresse e-mail, d’adresse IP, de localisation géographique, de statut d’utilisateur, d’historique de discussion, de message privé et de mot de passe. L’adresse e-mail et le nom d’utilisateur peuvent servir à relier le compte à des identités sur d’autres plateformes. L’adresse IP et les informations de localisation fournissent un contexte supplémentaire aux attaquants qui cherchent à déduire la zone géographique générale de l’utilisateur ou ses habitudes de connexion. Le risque le plus sensible concerne les messages privés et les historiques de discussion : ces contenus peuvent révéler des détails intimes sur la recherche d’une relation, les préférences personnelles, la situation familiale ou les attentes religieuses ou sociales. Le stockage avéré des mots de passe avec MD5 accroît également le risque de prise de contrôle des comptes. Si le même mot de passe a été utilisé sur d’autres comptes, des attaquants pourraient tenter de se connecter à des comptes de messagerie, de réseaux sociaux ou professionnels.

La date vérifiée de l’incident doit être indiquée comme étant le 24 juin 2016, la date d’ajout du dossier comme étant le 29 juin 2016 et le nombre de comptes concernés comme étant de 149 830. Des rapports secondaires mentionnent environ 150 000 profils et des centaines de milliers de messages privés. Ces rapports étayent le périmètre de l’incident, mais le nombre de comptes présenté à l’utilisateur reste limité aux 149 830 comptes vérifiés. Les catégories de données comprennent les historiques de discussion, les adresses e-mail, les géolocalisations, les adresses IP, les mots de passe, les messages privés, les statuts d’utilisateurs et les noms d’utilisateur. Pour ce dossier, la présence de champs relatifs aux cartes de paiement, aux comptes bancaires, aux pièces d’identité ou aux adresses physiques n’est pas vérifiée; ces champs ne sont donc pas inclus. Le dossier est classé comme une fuite sensible, car la présence d’un utilisateur sur cette plateforme ou la consultation de ses communications privées par des tiers pourrait avoir des conséquences personnelles.

Le groupe le plus exposé comprend les personnes qui possèdent un compte Muslim Match, utilisent leur vrai nom ou un nom d’utilisateur reconnaissable, conservent la même adresse e-mail pendant longtemps et réutilisent leur mot de passe sur d’autres services. Les messages privés échangés dans le cadre de la recherche d’un partenaire pour se marier ou nouer une relation peuvent exposer l’utilisateur à des pressions de sa famille, de son entourage ou de son milieu professionnel. Des champs tels que la localisation, l’adresse IP et le statut de l’utilisateur peuvent aider un attaquant à préparer des messages d’hameçonnage plus personnalisés. Les utilisateurs pour lesquels le contexte religieux ou culturel est particulièrement sensible peuvent être ciblés par des messages invoquant de fausses fermetures de compte, la suppression de données, la protection de leur réputation ou le chantage. Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut aussi s’étendre à leur compte professionnel. Si l’ancien mot de passe de la plateforme est réutilisé dans les systèmes professionnels, les conséquences pour la sécurité des comptes sont plus importantes.

L’utilisateur dont les données correspondent à ce dossier doit d’abord remplacer l’ancien mot de passe utilisé sur son compte Muslim Match ainsi que les mots de passe de tous les comptes où un mot de passe identique ou similaire est utilisé. Les vérifications doivent porter en priorité sur les comptes de messagerie électronique, de réseaux sociaux, de stockage dans le cloud, de messagerie instantanée, d’achat en ligne et les comptes professionnels. Les nouveaux mots de passe doivent être uniques, longs et générés à l’aide d’un gestionnaire de mots de passe. L’authentification à deux facteurs doit être activée sur tous les comptes qui la proposent. Les anciens messages privés ou e-mails, les messages sur les réseaux sociaux et les SMS faisant référence au nom de la plateforme doivent être examinés avec méfiance. Il ne faut pas répondre aux messages contenant des menaces, notamment de chantage ou de diffusion de photos, ou exigeant des frais de suppression de données ou de fermeture de compte. Il ne faut ni ouvrir les liens, ni télécharger les pièces jointes, ni communiquer des codes de vérification ou des informations de paiement.

Cet incident montre que les comptes utilisés sur les plateformes de rencontres et de recherche de partenaires présentent un risque élevé pour la vie privée. Sur ces services, les utilisateurs devraient utiliser une adresse e-mail distincte ou masquée plutôt que leur adresse principale, choisir un mot de passe unique pour chaque plateforme et généraliser la protection à deux facteurs partout où cela est possible. Les anciens comptes inutilisés devraient être fermés ou, à défaut, leurs mots de passe devraient être renouvelés. Lorsque les noms d’utilisateur, les adresses e-mail et les informations de profil sont repris à l’identique sur différents services, il devient plus facile de rapprocher les profils. Pour les comptes nécessitant un haut niveau de confidentialité, ces informations devraient être différentes d’un service à l’autre. Lorsque des organisations trouvent des adresses e-mail de salariés dans de telles fuites sensibles, elles devraient mettre en place une démarche de sécurité fondée sur l’accompagnement plutôt que sur la sanction, et intégrer les risques d’extorsion et d’hameçonnage ciblé à leur plan de réponse aux incidents.

La présence d’une correspondance avec Muslim Match dans ce dossier indique que l’adresse e-mail concernée pourrait figurer dans les données sensibles de cette plateforme de rencontres datant de 2016. Cette correspondance ne prouve pas que des données de carte de paiement ou des informations d’identité ont été exposées. Le principal risque est que les messages privés, les historiques de discussion, les adresses IP, les informations de localisation et les empreintes de mots de passe puissent être utilisés conjointement dans des tentatives de harcèlement ciblé ou de prise de contrôle de comptes. L’utilisateur devrait dresser la liste des comptes critiques associés à la même adresse e-mail, remplacer les mots de passe anciens ou réutilisés, étendre l’utilisation de l’authentification à deux facteurs et rester vigilant face aux menaces faisant référence à des messages privés. Il est recommandé aux organisations de traiter ce dossier comme présentant un risque élevé pour la vie privée en raison de son contenu sensible datant de 2016, et d’examiner la réutilisation des mots de passe dans le cadre d’un contrôle de sécurité distinct.