Fuite de données chez National Public Data

Les catégories de données vérifiées dans cette fiche sont les dates de naissance, les adresses e-mail, les informations sur le genre, les numéros d’identification officiels, les noms, les numéros de téléphone et les adresses postales. La présence de mots de passe n’a pas été vérifiée pour cette fiche. Une adresse e-mail seule présente un risque d’hameçonnage et de spam; associée au nom, à l’adresse, au numéro de téléphone et à la date de naissance, elle rend beaucoup plus crédibles les messages frauduleux se présentant comme émanant de banques, d’administrations, d’organismes de crédit, d’assureurs ou de services de livraison.

Le risque lié à un numéro d’identification officiel est le plus grave. Cette donnée peut être utilisée pour des demandes de crédit, des ouvertures frauduleuses de comptes, des fraudes fiscales ou des fraudes visant les services publics. L’adresse postale et le numéro de téléphone augmentent également le risque d’être pris pour cible, non seulement en ligne, mais aussi directement par des appels, des SMS et des courriers. En cas de correspondance positive, vous devez donc évaluer la sécurité non seulement de votre messagerie, mais aussi de vos dossiers de crédit et de vos comptes auprès des organismes publics.

La date de référence utilisée dans la fiche LeakData est le 9 avril 2024, la date d’ajout est le 13 août 2024 et le nombre d’adresses e-mail uniques est de 133 957 569. Le chiffre plus élevé de 2,7 à 2,9 milliards de lignes, qui a été avancé, correspond à un ensemble plus large de données ayant circulé autour du même incident; ces lignes ne représentent pas un nombre de personnes distinctes. Certains fichiers peuvent contenir plusieurs entrées pour une même personne, d’anciennes adresses, des correspondances erronées ou des fragments provenant de différents jeux de données.

La distinction essentielle est la suivante : un résultat positif obtenu à partir d’une adresse e-mail seule ne prouve pas que le numéro de sécurité sociale de la personne figure sur la même ligne. Selon les informations rapportées, les premiers grands fichiers de données d’identité ne comportaient pas de champ e-mail, tandis que les fichiers fragmentaires ayant circulé par la suite contenaient des millions d’adresses e-mail. Cet ensemble de données doit donc être considéré comme présentant un risque sérieux pour l’identité, tout en exigeant de la prudence quant à sa provenance et à l’exactitude des correspondances.

Le risque est le plus élevé pour les personnes dont l’historique de documents publics, d’adresses, de numéros de téléphone et de données d’identité est lié aux États-Unis, au Canada ou au Royaume-Uni. Ces personnes n’ont pas nécessairement souscrit directement au service National Public Data : les courtiers en données peuvent constituer des profils détaillés à partir de documents publics, de sources de données commerciales et de dossiers de vérification des antécédents. Même si vous ne connaissez pas ce service, vous devez donc prendre un résultat positif au sérieux.

Les personnes âgées, les adultes ayant un historique de crédit, les personnes ayant souvent déménagé, les salariés figurant fréquemment dans des documents publics et les groupes particulièrement exposés à la fraude peuvent être davantage ciblés. L’historique des adresses et des numéros de téléphone peut servir à de faux recouvrements de créances, à des offres de crédit, à de fausses notifications d’institutions officielles, à la récupération de comptes ou à des tentatives d’ingénierie sociale faisant intervenir de prétendus membres de la famille. Les correspondances avec des adresses e-mail professionnelles peuvent aussi relier l’identité personnelle à l’identité professionnelle.

Si vous obtenez une correspondance positive, vous devez d’abord consulter vos rapports de crédit et vérifier vos comptes financiers. Envisagez un gel du crédit ou une alerte à la fraude auprès des principaux bureaux de crédit. Surveillez les demandes inattendues et les changements d’adresse sur vos comptes bancaires, de carte de crédit, fiscaux, de sécurité sociale et de services essentiels. Protégez votre compte de messagerie avec un mot de passe fort et unique, et activez une protection multifacteur.

Les messages reçus par téléphone, e-mail ou courrier concernant une vérification d’identité, un accord de crédit, une notification d’un organisme public, une livraison, un remboursement d’impôt ou une clôture de compte doivent être vérifiés par un canal indépendant. Au lieu de cliquer sur le lien contenu dans le message, saisissez manuellement l’adresse connue de l’institution concernée ou utilisez son numéro officiel de service client. Ne supposez pas qu’un message est fiable au seul motif que les informations personnelles qu’il contient semblent exactes.

Le risque lié aux fuites de données d’identité persiste pendant des années. Changer les mots de passe ne suffit pas : il faut vérifier régulièrement les rapports de crédit, les opérations bancaires, les notifications des comptes auprès des organismes publics et les demandes liées à la santé et à l’assurance. Vous pouvez envisager le masquage de votre adresse e-mail, l’utilisation d’un numéro de téléphone distinct, des solutions de protection de votre adresse postale et des demandes de retrait auprès des courtiers en données. Il convient de limiter la diffusion sur Internet des anciennes adresses et des anciens numéros de téléphone.

Pour les institutions et les prestataires de services, cet incident illustre l’impact considérable de l’écosystème des intermédiaires de données. Les champs d’identité inutiles ne doivent pas être conservés sur de longues périodes; les contrôles d’accès doivent rester stricts, la fourniture de données par des tiers doit faire l’objet d’audits et les notifications de fuite ne doivent pas être retardées. Lorsque des données durables telles que le numéro d’identification, l’adresse et le numéro de téléphone sont divulguées, les utilisateurs doivent bénéficier non seulement d’une assistance concernant leurs comptes, mais aussi d’une aide pour protéger leur identité dans la vie réelle.

Si une recherche par adresse e-mail dans LeakData renvoie un résultat positif pour cette fiche, cela indique que l’adresse concernée figure parmi les 133 957 569 adresses e-mail uniques associées à National Public Data. Un résultat positif accroît la probabilité d’un risque concernant le nom, l’adresse, le numéro de téléphone, la date de naissance, le genre et le numéro d’identification officiel; il ne faut toutefois pas supposer que chaque champ est complet pour chaque personne. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans cet ensemble précis d’adresses e-mail.

La conduite à tenir consiste à envisager un gel du crédit ou une alerte à la fraude, à consulter vos rapports de crédit, à surveiller les notifications de vos comptes financiers et de vos comptes auprès des organismes publics, à vous méfier des appels et messages frauduleux, à renforcer la protection de votre messagerie avec une authentification multifacteur et à ne faire confiance à aucun lien demandant directement des informations d’identité. Cette fiche doit être considérée comme signalant un risque non vérifié, mais aux conséquences potentiellement importantes, pour les données d’identité.