Pas SOCRadar

Les adresses e-mail sont le seul type de données dont l’exposition a été vérifiée. Les mots de passe, les empreintes de mots de passe, les numéros de téléphone, les adresses postales, les informations de paiement, les documents d’identité et le contenu des comptes ne font pas partie des champs vérifiés pour cet incident. Même s’il ne s’agit que d’un seul champ, l’adresse e-mail constitue un point de départ important dans une chaîne d’attaque. La présence d’une adresse dans la liste peut indiquer à un attaquant que la personne est un utilisateur réel et qu’elle est associée à un domaine précis.

Les adresses e-mail servent notamment à l’hameçonnage ciblé, à l’envoi massif de spam, aux tentatives de réinitialisation de mots de passe, aux vérifications lors de la création de comptes et aux recoupements avec d’anciennes fuites. Les adresses professionnelles peuvent donner des indices sur le nom, le service ou l’entreprise d’un salarié. Quant aux adresses personnelles, elles peuvent faire l’objet de tentatives de rapprochement avec des comptes de réseaux sociaux, d’achat en ligne, de services financiers ou de candidature à des emplois. Ainsi, même si seul le champ de l’adresse e-mail a été vérifié, le niveau de risque de cet incident est élevé en raison du volume et des possibilités d’utilisation abusive.

Le périmètre vérifié comprend 282 478 425 adresses e-mail uniques au format valide. Lors de la publication initiale, un nombre de lignes plus élevé avait été annoncé; toutefois, du point de vue de l’utilisateur, c’est le nombre d’adresses uniques qui doit être pris en compte. La date retenue pour l’incident est le 3 août 2024, et celui-ci a été ajouté aux listes fiables le 9 août 2024. Cette dernière date correspond également à celle de la dernière modification vérifiée.

Il convient de respecter clairement les limites de cet incident : la vérification confirme l’exposition de la liste d’adresses e-mail; elle ne confirme pas que les systèmes de sécurité de SOCRadar ont été compromis. La description doit éviter toute affirmation catégorique selon laquelle les clients de l’entreprise auraient été directement mis en danger, ses systèmes internes auraient été exposés ou des données clients confidentielles auraient été dérobées. Le nom de la fiche doit lui aussi refléter cette distinction : le message adressé à l’utilisateur doit porter sur le risque lié à cette vaste liste d’adresses e-mail, plutôt que sur l’allégation d’une intrusion dans les systèmes de l’organisation.

Les utilisateurs à risque sont les particuliers dont l’adresse e-mail figure dans la liste, ainsi que les utilisateurs d’adresses rattachées à des domaines d’entreprise. Les adresses professionnelles peuvent être ciblées par des messages liés à la vente, à la comptabilité, à l’assistance ou aux ressources humaines, ainsi que par des messages usurpant l’identité de dirigeants. Les boîtes de contact générales peuvent également recevoir des messages portant sur de fausses offres, de fausses factures, de prétendues alertes de sécurité ou le partage de fichiers.

Pour les adresses personnelles, le risque augmente lorsque la même adresse est utilisée sur plusieurs services. Les attaquants peuvent combiner ces adresses avec des listes de mots de passe issues de fuites antérieures pour tenter de prendre le contrôle de comptes. Puisque les adresses e-mail sont le seul type de données concerné, il n’est pas possible d’affirmer que cet incident expose des informations financières ou des données d’identité officielles de la personne. Toutefois, la présence de son adresse dans une liste de cibles vérifiée peut rendre les messages malveillants reçus plus convaincants.

Si votre adresse correspond à une entrée de la liste, vérifiez d’abord la sécurité de votre compte de messagerie. Son mot de passe doit être robuste et unique, et ne doit pas être utilisé pour d’autres services. Activez l’authentification à deux facteurs, maintenez à jour votre adresse e-mail et votre numéro de téléphone de récupération, et fermez les sessions que vous ne reconnaissez pas. La seule exposition de votre adresse e-mail n’impose pas de changer de mot de passe, mais cette vérification reste prioritaire, car le compte de messagerie sert à récupérer l’accès à de nombreux autres comptes.

La prochaine étape concerne vos habitudes dans votre boîte de réception. Avant de cliquer sur un lien dans un message relatif à un paiement, à une facture, à une livraison, à une alerte de sécurité, à un partage de fichiers ou à une vérification de compte, vérifiez le domaine de l’expéditeur et le contexte du message. Les organisations doivent considérer cet incident comme un signal invitant à actualiser les règles de sécurité de la messagerie, les actions de sensibilisation des salariés et les listes d’adresses à haut risque. N’ouvrez pas les pièces jointes inattendues et vérifiez par un second canal les messages qui demandent des codes de connexion.

À long terme, envisagez d’utiliser des alias de messagerie uniques ou des adresses de contact distinctes pour vos comptes importants. Associer les comptes financiers, professionnels et de direction sensibles à une seule adresse générale crée un risque. L’utilisation d’un gestionnaire de mots de passe, la création d’un mot de passe différent pour chaque compte et la fermeture des anciens comptes réduisent l’exposition. Côté entreprise, une bonne gestion des paramètres DMARC, SPF et DKIM diminue le risque d’usurpation de l’identité des expéditeurs.

Les grandes listes d’adresses e-mail peuvent être combinées au fil du temps avec d’autres jeux de données. La démarche de sécurité ne doit donc pas se limiter à cet incident. Vérifiez régulièrement si la même adresse apparaît dans d’autres incidents contenant des mots de passe, des noms d’utilisateur, des numéros de téléphone ou des adresses. Les solutions de sécurité de la messagerie doivent bloquer les liens et les pièces jointes à risque, la formation des salariés doit s’appuyer sur des scénarios d’hameçonnage réalistes, et une vérification supplémentaire lors de la connexion doit être appliquée aux comptes disposant de privilèges élevés.

Un résultat positif sur LeakData signifie que votre adresse e-mail figure dans le jeu de données « Pas SOCRadar ». Ce résultat n’indique pas que vous possédez un compte sur le service SOCRadar ni que vous êtes client de l’entreprise. Il signifie que votre adresse est présente dans une vaste liste d’adresses e-mail et que la probabilité d’une utilisation abusive est accrue. Renforcez la sécurité des connexions, en particulier pour les comptes importants associés à cette même adresse.

Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données; toutefois, la même adresse peut apparaître dans d’autres listes à d’autres moments. Maintenez donc une surveillance régulière, utilisez des mots de passe uniques et la vérification en deux étapes, et restez vigilant dans l’utilisation de votre messagerie. Les équipes de sécurité des entreprises doivent considérer la présence d’adresses rattachées à leurs domaines dans de telles listes comme un signal d’alerte précoce pour leurs dispositifs de protection contre le spam et l’hameçonnage.