Fuite de données chez MyCastingFile (2020)

Les types de données vérifiés dans ce dossier couvrent les nombreux renseignements personnels saisis pour créer un profil de casting. Le nom, l’adresse e-mail, le numéro de téléphone et l’adresse postale présentent un risque direct de prise de contact et de recoupement d’identité. La date de naissance, les données de localisation et les photos de profil peuvent aider à relier la présence en ligne d’une personne à son identité réelle. Les champs tels que les caractéristiques physiques, la taille, le poids, la couleur des cheveux ou de la peau, l’origine ethnique, la taille des vêtements et les informations sur les véhicules constituent un profil plus sensible qu’une simple liste de comptes. Le parcours professionnel et le contexte du casting peuvent être exploités pour proposer de faux rôles, envoyer de faux messages de sociétés de production ou monter des escroqueries assorties de promesses de rémunération. Cette combinaison de données crée des risques d’hameçonnage ciblé, de harcèlement et d’usurpation d’identité, ainsi que des risques qui s’étendent au monde physique, même en l’absence de mot de passe.

La date vérifiée à retenir pour l’incident est le 31 mai 2020; les travaux de recherche publiés ont été relayés publiquement le 16 juillet 2020. Le nombre d’utilisateurs concernés ayant été annoncé comme supérieur à 260 000, le système doit retenir la valeur de 260 000 dans la fiche principale. Selon les informations rapportées, le dépôt de données restant occupait environ 1 GB et contenait 9 456 433 enregistrements; ce chiffre ne correspond pas au nombre d’utilisateurs uniques, mais au volume de profils et d’enregistrements associés. La présence de mots de passe, de cartes de paiement, de comptes bancaires ou de numéros de pièces d’identité officielles n’ayant pas été vérifiée dans ce dossier, ces champs n’y sont pas inclus. Il ne faut pas non plus généraliser l’affirmation selon laquelle toutes les photos seraient accessibles; le rapport indique que certaines photos sont accessibles et que les contenus sont répartis entre différents hébergements. Dans ces limites, le périmètre est vérifié avec un niveau de confiance très élevé.

Les personnes qui renseignent leur adresse réelle, leur numéro de téléphone, leur date de naissance, une photo récente, des informations sur leur véhicule et des caractéristiques physiques détaillées dans leur profil de casting figurent parmi les plus exposées. Les personnes qui cherchent à travailler comme acteurs, figurants, mannequins ou membres d’une équipe de tournage peuvent facilement être ciblées par de fausses offres de rôles qui paraissent crédibles. Les profils d’enfants ou de jeunes acteurs présentent des risques spécifiques; la présence de caractéristiques physiques et de photos, associées aux coordonnées des parents, accentue les conséquences pour leur sécurité. Le parcours professionnel et les informations de localisation peuvent aider un attaquant à créer des messages plus convaincants en s’appuyant sur une ville, un plateau de tournage, une agence ou un nom de production précis. Pour les personnes qui utilisent la même adresse e-mail sur les réseaux sociaux, dans leurs portfolios d’acteur et pour leurs comptes de paiement, le risque de recoupement d’identité et de fraude est plus élevé.

Si vos données correspondent à ce dossier, commencez par examiner les coordonnées et les portfolios accessibles au public sur votre compte MyCastingFile. Si vous utilisez le même numéro de téléphone, la même adresse e-mail et les mêmes photos sur plusieurs plateformes, renforcez vos paramètres de confidentialité. Si vous recevez des messages au nom d’un casting, d’une agence, d’une société de production ou d’une équipe de tournage qui vous demandent de payer des frais, de fournir des informations bancaires ou des pièces d’identité, de confirmer votre adresse ou d’effectuer un paiement immédiat, interrompez la démarche et vérifiez la demande par un autre canal. Si vous êtes parent, réduisez les informations qui peuvent être recueillies sur les comptes associés au profil de votre enfant, notamment les photos, les adresses et les éléments permettant de reconnaître les abords de son école. Ne répondez pas aux messages suspects, n’ouvrez pas leurs liens et ne téléchargez pas leurs pièces jointes. Activez l’authentification à deux facteurs pour la messagerie utilisée avec votre compte et vérifiez également, séparément, les comptes sensibles associés à la même adresse e-mail.

Sur les services de casting et de profils de talents, les utilisateurs doivent éviter de communiquer des détails qui ne sont pas nécessaires à une candidature et réduire régulièrement les informations présentes dans leur portfolio. Lorsque des photos, des adresses, des informations sur les véhicules et des caractéristiques physiques s’accumulent dans un même profil, le risque ne se limite pas à la fraude en ligne; la sécurité physique de la personne peut également être affectée. Il est donc important d’utiliser une adresse e-mail distincte, de ne communiquer son numéro de téléphone qu’à des agences de confiance, de supprimer les anciens portfolios et de séparer les profils sur les réseaux sociaux des comptes de casting. Pour les organisations qui exploitent ces plateformes, la principale leçon est de ne pas laisser les dépôts de données de recherche et de profils ouverts sans authentification, d’examiner régulièrement les journaux d’accès, de mettre en place une couche de protection distincte pour les profils d’enfants et de réduire les durées de conservation inutiles des données.

Si une correspondance avec MyCastingFile 2020 apparaît dans ce dossier, cela indique que l’adresse e-mail concernée a pu figurer dans les données d’un profil de casting ou d’une candidature artistique. Cette correspondance ne prouve pas qu’un mot de passe ou une carte de paiement a été exposé; elle signifie que le risque vérifié tient à l’exploitation combinée de nombreux champs de profil personnel, de photos, de coordonnées, de données de localisation et de caractéristiques physiques. Les utilisateurs doivent examiner leurs anciennes candidatures à des castings, leurs pages de portfolio, leurs liens vers les réseaux sociaux et leurs contacts en agence; ils doivent vérifier par un canal indépendant les demandes relatives à un rôle, un paiement, un déplacement ou une confirmation d’identité provenant de personnes qu’ils ne connaissent pas. Pour les organisations, ce dossier doit être classé comme présentant un risque élevé lié aux données de profil personnel issues d’un dépôt de données ouvert en 2020. Des mesures de protection supplémentaires doivent être envisagées tout particulièrement pour les profils d’enfants ou de jeunes acteurs.