Fuite de données de Nafham Education en 2021

Dans la base de données de Nafham, l’association de l’adresse e-mail, du nom complet et du hachage du mot de passe constitue l’ensemble de données le plus critique en matière de risque. Bien que Bcrypt soit une méthode robuste de stockage des mots de passe, les mots de passe faibles ou courants peuvent être cassés au fil du temps. Si le même mot de passe est réutilisé pour la messagerie, les réseaux sociaux, les services scolaires, les achats en ligne ou d’autres comptes éducatifs, des attaquants peuvent tenter d’utiliser ces informations sur différents services. L’association du nom complet et de l’adresse e-mail rend également plus crédibles les messages trompeurs prenant la forme de fausses notifications d’assistance, de messages sur la sécurité des comptes ou de contenus de cours.

Certains répertoires présentent le numéro de téléphone, la date d’inscription, la date de dernière connexion et les champs du profil éducatif comme des catégories de risque distinctes. Il faut tenir compte de ces champs sans supposer qu’ils sont tous renseignés dans chaque ligne. Toutefois, les utilisateurs pour lesquels une correspondance est trouvée doivent se méfier des appels, des SMS, des demandes de vérification de compte ou des notifications destinées aux élèves et aux parents. Le contexte de la plateforme éducative peut permettre de déduire la tranche d’âge, le niveau scolaire ou l’objectif d’apprentissage de l’utilisateur.

La date la mieux étayée pour cette fiche est novembre 2021. L’incident est associé au service Nafham Education, basé en Égypte, et le nombre principal d’enregistrements retenu reste de 415 744. Les chiffres plus élevés peuvent provenir de traitements du même jeu de données dans différents répertoires, avec des méthodes de nettoyage, de déduplication ou de comptage des lignes différentes. Le récit présenté aux utilisateurs ne laisse donc pas entendre qu’il existe des millions d’enregistrements; l’ordre de grandeur réaliste est d’environ 416 000 utilisateurs.

Les catégories de données se limitent aux adresses e-mail, aux noms complets, aux hachages de mots de passe, aux numéros de téléphone, aux dates de création de compte, aux dates de dernière connexion et aux informations éducatives. Le champ du mot de passe doit être considéré comme un hachage bcrypt, et non comme un mot de passe en clair. Le champ du nom d’utilisateur est retiré de la catégorie principale de données, car il n’est pas vérifié de manière indépendante et cohérente. Les données de carte de paiement, les comptes bancaires, les pièces d’identité officielles, les adresses de domicile et le contenu des messages privés ne sont pas inclus, faute de vérification fiable pour cette fiche.

Le risque le plus élevé concerne les utilisateurs qui réutilisent le mot de passe de leur compte Nafham sur d’autres services. Même si le compte de la plateforme éducative est ancien, la même adresse e-mail et le même mot de passe peuvent rester valides ailleurs. Les élèves, les parents, les enseignants et les personnes utilisant des contenus éducatifs en arabe peuvent être ciblés par de faux messages sur la sécurité des comptes, des notifications d’accès aux cours, des liens vers des certificats ou des demandes de paiement.

Pour les utilisateurs dont le numéro de téléphone ou un champ du profil éducatif correspond aux données de la fuite, le risque ne se limite pas à la boîte de réception des e-mails. De faux parcours d’assistance peuvent être mis en place par SMS, par appel ou via des applications de messagerie. Le prénom, le nom et le contexte éducatif donnent aux messages une apparence personnelle. Les mêmes informations peuvent servir à des tentatives d’hameçonnage imitant des communications internes à un établissement scolaire, à destination des enseignants ou du personnel éducatif utilisant une adresse e-mail professionnelle.

Si une correspondance est trouvée pour vos données, vous devez d’abord vous assurer que l’ancien mot de passe de votre compte Nafham n’est plus valide sur aucun autre compte. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, sur d’autres services, choisissez immédiatement un mot de passe long et unique. Activez l’authentification multifacteur sur votre messagerie, vos réseaux sociaux, les services scolaires et les comptes liés à des paiements. Même si vous ne vous souvenez plus de l’ancien mot de passe, adopter de nouveaux mots de passe uniques à l’aide d’un gestionnaire de mots de passe constitue une protection plus adaptée.

Pour les messages évoquant Nafham, l’accès aux cours, le profil d’un élève, la vérification d’un compte ou des notifications de sécurité, vérifiez manuellement le nom de domaine avant de cliquer sur un lien. Les demandes de codes de vérification reçues par téléphone, les messages d’assistance urgents et les menaces de fermeture de compte peuvent être frauduleux. Vérifiez votre adresse e-mail de récupération, le numéro de téléphone enregistré et les sessions actives. Si vous constatez une notification de connexion inattendue, entamez les démarches depuis l’écran de connexion habituel du service concerné.

Les comptes utilisés sur les plateformes éducatives sont généralement considérés comme peu risqués. Pourtant, lorsque le nom complet, l’adresse e-mail et les hachages de mots de passe sont divulgués ensemble, le risque persiste longtemps. Ne réutilisez pas le même mot de passe pour vos comptes scolaires, de cours, d’examens blancs, de formation vidéo et de réseaux sociaux. S’il s’agit du compte d’un enfant ou d’un parent, gérez les coordonnées et la visibilité du profil avec davantage de précaution. Les comptes éducatifs inutilisés doivent être fermés ou isolés au moyen d’un mot de passe unique.

Pour les administrateurs de services, la principale leçon est que les données de formation sont aussi sensibles que les données d’identité. Même si les hachages de mots de passe sont stockés à l’aide d’algorithmes robustes, les contrôles d’accès, la sécurité des sessions et les durées de conservation des données doivent être réexaminés régulièrement. Les informations de profil, comme le numéro de téléphone, l’établissement scolaire, la classe, le lien de parenté et le domaine d’études, ne doivent être conservées que le temps nécessaire. Les utilisateurs doivent disposer d’une possibilité clairement indiquée de supprimer leur compte et de mettre à jour leurs données.

Un résultat positif indique un risque concernant l’adresse e-mail, le nom complet, le hachage bcrypt du mot de passe et, dans certaines sources, le numéro de téléphone, la date d’inscription, la date de dernière connexion et les champs du profil éducatif. Un résultat négatif montre seulement qu’aucune correspondance n’a été trouvée dans ce jeu de données précis; il ne prouve pas que la personne n’est pas concernée par d’autres fuites touchant des services éducatifs ou des comptes.

La bonne démarche consiste à abandonner définitivement l’ancien mot de passe, à changer les mots de passe réutilisés, à activer l’authentification multifacteur sur la messagerie et les comptes scolaires, à confirmer par un canal indépendant les demandes de vérification reçues par téléphone et à se méfier des liens présentés comme liés à une plateforme éducative.