Fuite de données MyPertamina de 2022

Les principaux types de données recensés dans la fiche MyPertamina sont les dates de naissance, les adresses e-mail, les informations sur le genre, les noms, les numéros de téléphone, les adresses postales et les historiques d’achats. Le champ des mots de passe ne figure pas parmi les catégories de données vérifiées pour cette fiche; l’incident ne doit donc pas être présenté comme une compromission directe des mots de passe. Le risque ne diminue pas pour autant : seule sa nature change. En combinant une adresse e-mail, un numéro de téléphone, un nom, une adresse postale et une date de naissance, un attaquant peut rendre plus crédibles ses tentatives d’hameçonnage ciblé, ses faux appels d’assistance, ses fraudes liées à la livraison ou au paiement, ainsi que ses tentatives de contournement des questions d’authentification.

Les données d’achat présentent également des risques liés aux habitudes personnelles. Les habitudes de consommation de carburant ou d’utilisation des services peuvent fournir des indices indirects sur les lieux fréquentés par l’utilisateur, l’usage de son véhicule et les moments où il effectue ses paiements. Associées à une adresse postale et à un numéro de téléphone, ces informations peuvent ouvrir la voie non seulement à des problèmes de sécurité des comptes numériques, mais aussi au harcèlement dans la vie réelle, à des appels promotionnels frauduleux et à des scénarios d’ingénierie sociale. La fuite MyPertamina doit donc être considérée comme un incident critique : même sans mots de passe, elle réunit un ensemble de données particulièrement propice au profilage personnel.

Les nombres de personnes concernées, les champs de données et les affirmations des acteurs malveillants qui n’ont pas été vérifiés ne sont pas considérés comme faisant partie du périmètre public de l’incident. Le volume brut revendiqué a été rapporté comme dépassant 44 millions de lignes; toutefois, le nombre de lignes brutes ne correspond pas au nombre de personnes distinctes. Les historiques de transactions, les doublons, les multiples lignes appartenant à un même utilisateur ou les différentes tables présentes dans l’export de données peuvent accroître ce volume.

La date de l’incident doit être enregistrée comme étant novembre 2022, et la date d’ajout dans le système doit rester janvier 2024. Si la date d’une mise à jour technique antérieure ou celle d’un import en masse est affichée comme date de la fuite, les utilisateurs peuvent penser que celle-ci s’est produite en 2025 ou en 2026. Cette confusion a été corrigée dans la présente fiche : la date de la fuite est le 1er novembre 2022, la date vérifiée d’ajout au répertoire est le 27 janvier 2024, et le nombre d’adresses e-mail uniques concernées est considéré comme étant de 5 970 416. Les informations sur l’entreprise doivent également être mises à jour pour indiquer l’Indonésie et les services liés à l’énergie et au paiement de carburant.

Le premier groupe à risque comprend les personnes qui ont ouvert un compte MyPertamina et utilisé leur adresse e-mail et leur numéro de téléphone pour payer du carburant ou effectuer des opérations de fidélité. Lorsque le nom, le numéro de téléphone, l’adresse et les informations d’achat de ces personnes sont réunis, de faux appels du service client peuvent devenir plus convaincants. L’attaquant peut inciter l’utilisateur à cliquer sur un lien ou à fournir des informations personnelles supplémentaires au moyen de messages portant sur les subventions sur le carburant, la vérification des paiements, les points de fidélité, les offres promotionnelles ou le renouvellement du compte.

Le deuxième groupe à risque comprend les personnes qui utilisent le même numéro de téléphone pour leurs services bancaires, leurs portefeuilles électroniques, les livraisons et les services publics. Le numéro de téléphone et la date de naissance peuvent servir d’informations complémentaires facilitant les échanges de vérification d’identité auprès de certains services. Le troisième groupe à risque comprend les salariés qui ouvrent un compte personnel MyPertamina avec leur adresse e-mail professionnelle. Ce rapprochement ne signifie pas qu’un attaquant dispose d’un accès direct au système de l’entreprise; toutefois, le risque de sécurité augmente si le nom réel du salarié, son numéro de téléphone ou des éléments liés à son adresse sont utilisés dans des messages d’hameçonnage ciblé.

Les utilisateurs figurant dans le registre MyPertamina devraient d’abord examiner attentivement les messages reçus par e-mail et sur leur téléphone concernant le carburant, les paiements, les points de fidélité, les subventions ou la vérification de leur compte. Plutôt que de se connecter en suivant le lien d’un message, ils devraient privilégier l’adresse officielle connue du service ou son application mobile. Il ne faut pas communiquer de numéro d’identification personnel, de date de naissance, d’adresse, de code à usage unique ou d’informations de paiement lors d’un appel reçu. Les véritables équipes du service client ne devraient pas demander de codes de sécurité.

Même si la fuite du mot de passe n’est pas confirmée, des mesures de sécurité renforcées devraient être prises pour les comptes critiques utilisant la même adresse e-mail. L’authentification multifacteur devrait être activée pour les comptes de messagerie, les portefeuilles électroniques, les services bancaires, de livraison et les services publics; les numéros de téléphone et les adresses e-mail de récupération devraient être vérifiés. L’utilisateur devrait fermer les sessions suspectes, supprimer les appareils qu’il ne reconnaît pas et retirer des services ses anciennes adresses ou ses anciens numéros de téléphone. La date de naissance et l’adresse devraient désormais être considérées comme faciles à deviner et ne devraient pas être utilisées dans les mots de passe ou les codes PIN.

La violation de données MyPertamina montre que les données personnelles autres que les mots de passe ont elles aussi des conséquences durables sur la sécurité. Les utilisateurs devraient prendre l’habitude de ne fournir que le minimum de données à chaque service. Les champs non nécessaires, tels que le numéro de téléphone, l’adresse ou la date de naissance, devraient rester vides; dans la mesure du possible, il convient d’utiliser le masquage des adresses e-mail, des adresses de contact distinctes et des préférences de notification propres à chaque service. Une fois les données personnelles mises en circulation, il est impossible de les récupérer intégralement; la principale protection consiste donc à éviter que les mêmes données servent de clé de sécurité unique pour différents comptes.

L’historique d’achats, le numéro de téléphone et l’adresse n’ont pas seulement une valeur marketing; lorsqu’ils sont obtenus de manière illégitime, ils forment un profil sensible qui alimente les fraudes ciblées. Les entreprises devraient s’abstenir de collecter des champs inutiles, supprimer régulièrement les anciens enregistrements, former leurs équipes d’assistance client à résister aux tentatives d’ingénierie sociale et examiner sans délai les accès suspects aux données.

La fiche ne contenant pas de mot de passe, la première réaction ne devrait pas se limiter à changer celui-ci. Il convient de redoubler de vigilance face aux éventuels faux appels, faux messages et fausses campagnes promotionnelles qui pourraient exploiter les numéros de téléphone, les adresses, les dates de naissance et les informations d’achat.

La bonne démarche consiste à renforcer d’abord la sécurité de la messagerie et du téléphone, puis à vérifier les paramètres de récupération des comptes de portefeuilles électroniques, des services bancaires, de livraison et des services publics. L’utilisateur devrait examiner les connexions qu’il ne reconnaît pas sur les services utilisant la même adresse e-mail que MyPertamina et supprimer les informations personnelles obsolètes des comptes dont il n’a plus besoin. Les personnes utilisant une adresse e-mail professionnelle devraient transmettre ce résultat à leur équipe de sécurité; du côté de l’entreprise, une surveillance du domaine, des alertes de connexion à risque et des évaluations de la sensibilisation des salariés devraient être mises en place.