Fuite de données NapsGear de 2015

Cette fuite comprenait des adresses e-mail, des noms, des numéros de téléphone et des adresses physiques, ainsi que des dates de naissance, le genre, des informations d’achat et des hachages de mots de passe. Les adresses e-mail et les hachages de mots de passe sont à l’origine du risque de prise de contrôle des comptes. Le hachage MD5 avec sel peut être considéré comme une méthode faible au regard des normes actuelles de stockage des mots de passe. Les mots de passe faibles ou réutilisés peuvent finir par être retrouvés à partir de leurs hachages, puis testés sur d’autres services.

Les adresses, les numéros de téléphone et l’historique des achats permettent des attaques plus personnalisées. Les attaquants peuvent utiliser de véritables données clients pour préparer de fausses notifications de livraison, confirmations de paiement, annulations de commande ou communications concernant des retours de produits, ainsi que des messages contenant des menaces. Des informations supplémentaires, comme la date de naissance et le genre, peuvent rendre les messages d’ingénierie sociale plus convaincants. Une réponse efficace ne se limite donc pas au changement des mots de passe : elle doit aussi intégrer la sécurité des communications et la protection de la vie privée.

Pour cette fiche, la date de l’incident est le 21 octobre 2015, la date d’ajout au jeu de données est le 10 septembre 2018 et le nombre de comptes concernés est de 287 071. Les champs vérifiés sont les dates de naissance, les adresses e-mail, le genre, les noms, les mots de passe, les numéros de téléphone, les adresses physiques et les informations d’achat. La fiche doit être signalée comme vérifiée et sensible, car elle associe des coordonnées personnelles à des informations sur les achats.

Pour cet incident, les données de compte bancaire, les numéros de pièces d’identité officielles, les dossiers médicaux, les données complètes de carte de paiement et le contenu de messages privés ne font pas partie des champs vérifiés. Les informations d’achat ne sont pas des données de carte de paiement : elles concernent ce que l’utilisateur a acheté ou le contexte de la commande. Le champ relatif au mot de passe ne doit pas non plus être présenté comme contenant un mot de passe en clair. Le respect de ces limites permet à l’utilisateur de comprendre le risque réel, sans susciter de panique inutile par des affirmations non étayées.

Le risque est le plus élevé pour les utilisateurs qui réutilisent le mot de passe de leur compte NapsGear pour leur messagerie, leurs réseaux sociaux, leurs comptes clients sur des sites marchands, leurs comptes sur des forums ou leurs comptes financiers. Lorsque les mots de passe sont retrouvés à partir de leurs hachages, ils peuvent être testés sur d’autres services. Si de nombreux comptes ont été ouverts avec la même adresse e-mail, les attaquants peuvent exploiter cette information pour effectuer des tentatives de connexion automatisées et envoyer de fausses notifications de sécurité.

Les utilisateurs dont l’adresse, le numéro de téléphone et l’historique des achats sont visibles courent également un risque pour leur vie privée. En raison de la catégorie de produits proposés par NapsGear, certaines personnes peuvent subir un préjudice si leurs informations d’achat sont mises en relation avec leur famille, leur milieu professionnel ou leur communauté locale. L’adresse de livraison et le numéro de téléphone peuvent permettre de localiser physiquement une personne ou de faire pression sur elle par des appels directs. Pour les clients qui utilisent une adresse e-mail professionnelle, ces informations peuvent également être reliées à leur identité professionnelle.

Si une correspondance est trouvée pour vos données, vous devez d’abord vous assurer que l’ancien mot de passe de votre compte NapsGear n’est plus utilisé sur aucun autre compte. Si vous utilisez ailleurs un mot de passe identique ou similaire, remplacez-le par un mot de passe unique depuis un appareil sain. Vérifiez en priorité vos comptes de messagerie, vos gestionnaires de mots de passe, vos comptes financiers et vos comptes clients sur des sites marchands. Activez l’authentification multifacteur partout où cela est possible.

Soyez attentif aux messages reçus par téléphone ou par e-mail concernant des commandes, des livraisons, des paiements, des retours, des formalités douanières, la sécurité ou des menaces. Plutôt que de cliquer sur les liens contenus dans ces messages, saisissez manuellement le nom de domaine que vous connaissez et vérifiez par un canal indépendant les demandes de paiement ou de codes de vérification. Prenez au sérieux les notifications d’expédition inattendues et les tentatives de pression, en gardant à l’esprit que votre adresse physique a pu être divulguée.

L’incident NapsGear montre que les données stockées dans les comptes clients sur des sites marchands sont importantes non seulement pour la sécurité des paiements, mais aussi pour la vie privée et la sécurité personnelle. Privilégiez des adresses e-mail distinctes pour les catégories de produits sensibles, évitez de fournir inutilement vos numéros de téléphone et vos adresses à de multiples services, fermez vos anciens comptes et examinez régulièrement les notifications d’achat. Utiliser un gestionnaire de mots de passe afin de disposer d’un mot de passe différent pour chaque service constitue une protection fondamentale.

Pour les services de vente au détail, la leçon essentielle est la minimisation des données. Conserver longtemps des champs personnels inutiles après l’exécution d’une commande accroît les conséquences pour l’utilisateur. Les hachages de mots de passe doivent être protégés par des méthodes robustes et à jour, les anciennes données de commande et de livraison doivent être réduites lorsqu’elles ne sont plus nécessaires, et un plan de notification des clients doit être prêt à être mis en œuvre. Pour les catégories de produits sensibles, une politique sûre de conservation des données contribue directement à la sécurité des utilisateurs.

Si une recherche concernant NapsGear effectuée avec une adresse e-mail sur LeakData donne un résultat positif, cela signifie que cette adresse figure dans le jeu de données de 287 071 comptes. Un résultat positif indique un risque concernant l’adresse e-mail, le nom, le numéro de téléphone, l’adresse physique, la date de naissance, le genre, les informations d’achat et les hachages de mots de passe. Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données précis; il n’exclut pas d’autres fuites touchant des services de vente au détail ou des forums.

La bonne démarche consiste à cesser d’utiliser l’ancien mot de passe, à changer les mots de passe réutilisés, à renforcer la sécurité de votre compte de messagerie, à vous méfier des faux messages liés au téléphone et aux livraisons, à surveiller l’utilisation abusive de vos informations d’adresse et à ne pas répondre aux messages qui exercent une pression sur votre vie privée. Cette fiche doit présenter une fuite vérifiée et sensible, survenue dans un contexte de vente au détail. Elle doit vous fournir des mesures claires concernant à la fois la sécurité des comptes et votre sécurité personnelle.