Fuite de données de Pankhuri en 2022

Les principaux champs du jeu de données de Pankhuri concernent les adresses e-mail, les noms d’utilisateur, les numéros de téléphone, le genre, les adresses postales et les dates d’activité des comptes. La présence conjointe d’une adresse e-mail et d’un numéro de téléphone permet aux attaquants de contacter un utilisateur par plusieurs canaux. Le nom d’utilisateur peut faciliter le rapprochement entre les comptes d’une même personne sur différents réseaux sociaux ou plateformes communautaires. L’adresse postale fournit un contexte exploitable non seulement pour l’hameçonnage en ligne, mais aussi pour des messages frauduleux portant sur des livraisons, des adhésions, des événements ou des services locaux. Les informations sur le genre et le contexte d’une plateforme destinée aux femmes créent un risque supplémentaire pour la vie privée, notamment en matière de contacts non sollicités, de harcèlement ou de messages d’escroquerie plus personnalisés.

Un point mérite une attention particulière dans ce cas : le risque ne doit pas être considéré comme faible au seul motif qu’aucun mot de passe n’est recensé. Même en l’absence de mot de passe, des coordonnées réelles et le contexte du profil peuvent rendre plus convaincants de faux messages d’assistance, des invitations à des formations, des annonces communautaires, des demandes de mise à jour de compte ou des instructions de paiement. Les utilisateurs ne doivent pas cliquer directement sur les liens des messages reçus. Ils doivent vérifier l’activité de leurs comptes en passant par des noms de domaine connus et ne pas communiquer d’informations personnelles en réponse à des demandes de vérification reçues par téléphone. Dans les messages contenant une adresse postale, les demandes de paiement ou de documents supplémentaires sous prétexte d’expédition, d’événement, d’adhésion ou de campagne doivent également être considérées comme suspectes.

Les adresses e-mail personnelles utilisées sur des plateformes sociales et éducatives comme Pankhuri peuvent parfois aussi servir d’adresses professionnelles ou être liées à une identité professionnelle. La présence du numéro de téléphone, de l’adresse et du nom d’utilisateur d’un salarié dans un même jeu de données peut rendre plus convaincants des scénarios ciblant des comptes d’entreprise : faux messages des ressources humaines, invitations à des événements, inscriptions à des formations ou échanges avec un faux service d’assistance. Les organisations doivent considérer ces données non seulement sous l’angle d’une fuite de mots de passe, mais aussi comme une exposition de données personnelles qui accroît le risque d’ingénierie sociale. En particulier, dans les procédures de vérification par SMS, d’authentification auprès du service d’assistance et de confirmation d’adresse, une validation ne doit pas reposer sur une seule information.

Pour les utilisateurs, la priorité est de passer en revue les paramètres de sécurité du compte Pankhuri ou des autres comptes créés avec la même combinaison d’adresse e-mail et de numéro de téléphone. Il convient d’activer l’authentification à deux facteurs sur le compte de messagerie, de ne communiquer à personne les codes à usage unique envoyés au numéro de téléphone et de limiter les informations publiques des profils sur les réseaux sociaux aux seuls détails nécessaires. Si l’adresse postale a pu être exposée, les messages relatifs aux livraisons et aux adhésions doivent être examinés avec une vigilance particulière. Même lorsqu’un message contenant une adresse semble légitime, s’il comporte un lien de paiement, de dépôt de document ou de vérification de compte, la démarche doit être vérifiée par un canal indépendant.

Cette fiche a été classée à haut risque, car la présence conjointe de coordonnées, d’une adresse et d’un contexte communautaire permet de préparer des tentatives d’ingénierie sociale adaptées à chaque utilisateur. En revanche, la liste des champs de données n’a pas été élargie sur la base d’affirmations non étayées : les mots de passe, les données de cartes de paiement, les dates de naissance et les informations de pièces d’identité officielles ne figurent pas parmi les principales catégories de données de cette fiche. Les utilisateurs qui recherchent des informations sur les fuites de données de Pankhuri doivent pouvoir comprendre rapidement, sur cette page, quelles informations ont pu être touchées, quelles affirmations n’ont pas été ajoutées à la fiche et quelles mesures de sécurité sont prioritaires. L’approche la plus adaptée consiste à renforcer la sécurité de la messagerie et du téléphone, à rester prudent face aux messages contenant une adresse postale et à effectuer les opérations sur les comptes uniquement par des canaux connus.

Lors de l’examen d’une fiche relative à Pankhuri, le principal point à retenir pour l’utilisateur est que cet incident crée un risque davantage lié aux communications, à l’adresse et au contexte du profil qu’à la sécurité des mots de passe elle-même. Par conséquent, un contrôle de sécurité doit porter non seulement sur le mot de passe du compte, mais aussi sur les appels téléphoniques reçus, les messages contenant une adresse et les invitations sur les réseaux sociaux qui semblent provenir de contacts connus.