Fuite de données chez ParkMobile

Les catégories de données dont la présence a été vérifiée sont les adresses e-mail, les noms, les numéros de téléphone, les plaques d'immatriculation, les empreintes bcrypt des mots de passe, les adresses postales et les informations sur les véhicules. Les adresses postales ne figuraient que pour un faible pourcentage des utilisateurs. Les informations sur les véhicules comprenaient un surnom lorsqu'il avait été renseigné. Les mots de passe n'étaient pas en clair : les valeurs exposées étaient des empreintes bcrypt salées. Bcrypt ralentit les attaques hors ligne visant à deviner les mots de passe, mais n'élimine pas les risques liés aux mots de passe faibles ou courts. Le croisement des adresses e-mail, des numéros de téléphone, des plaques d'immatriculation et des informations sur les véhicules peut rendre plus crédibles de faux messages concernant des contraventions de stationnement, des paiements, l'immatriculation d'un véhicule ou l'assistance. Selon l'enquête officielle, les données de cartes bancaires et l'historique des transactions de stationnement n'ont pas été consultés, et le service ne collectait ni numéros de sécurité sociale, ni numéros de permis de conduire, ni dates de naissance.

ParkMobile a déclaré avoir pris connaissance en mars 2021 d'un incident de cybersécurité lié à une vulnérabilité dans un logiciel tiers et avoir rapidement corrigé cette faille. L'entreprise a publié un premier avis le 26 mars, fait appel à des spécialistes externes de la sécurité et informé les forces de l'ordre. L'enquête menée par la suite a confirmé un accès aux informations de base des utilisateurs et aux empreintes de leurs mots de passe. Les données d'environ 21 millions de clients ont ensuite été proposées sur un forum criminel, puis largement redistribuées; le jeu de données validé contient 20 949 825 enregistrements de comptes uniques. Les champs de mots de passe contenaient des empreintes bcrypt, et l'entreprise a indiqué les protéger par des technologies de hachage et de salage. Une analyse indépendante a relevé des adresses postales dans certains enregistrements, ainsi que des plaques d'immatriculation associées à plusieurs véhicules.

Les personnes ayant créé un compte avant mars 2021 via ParkMobile ou une application en marque blanche au nom d'une ville ou d'un opérateur sont directement concernées. Celles qui ont réutilisé le même mot de passe ailleurs, choisi un mot de passe court ou prévisible, ou laissé l'authentification multifacteur désactivée sur leur messagerie courent un risque accru de prise de contrôle de leurs comptes. Une plaque d'immatriculation et un surnom de véhicule donnent un contexte convaincant à de fausses contraventions de stationnement, à des avis de prolongation de stationnement ou à des messages de remboursement. Les utilisateurs dont le numéro de téléphone figurait dans les données peuvent recevoir des tentatives d'hameçonnage par SMS ou par appel vocal, tandis que le groupe plus restreint dont les adresses postales étaient présentes peut recevoir des factures ou des courriers frauduleux. Une plaque d'immatriculation ne révèle pas à elle seule la localisation d'un véhicule en temps réel, et l'historique des transactions de stationnement ne faisait pas partie des données consultées. Même en l'absence d'un nom ou d'une adresse, d'autres champs dont la présence a été vérifiée peuvent avoir été exposés.

Si vous avez réutilisé ailleurs votre mot de passe ParkMobile de 2021, changez immédiatement les mots de passe de ces comptes. Générez un mot de passe long et unique pour chaque service, conservez-le dans un gestionnaire de mots de passe réputé et activez l'authentification multifacteur, en particulier sur votre messagerie. Si votre compte ParkMobile est toujours actif, passez par l'application officielle ou le domaine officiel pour vérifier le mode de connexion actuel et les informations de récupération; ne vous connectez pas depuis un lien reçu dans un message. Vérifiez dans l'application toute contravention de stationnement, demande de prolongation, demande de vérification du véhicule, mise à jour de plaque d'immatriculation ou notification de remboursement inattendue. Bien que les données de cartes bancaires n'aient pas été consultées lors de cet incident, des criminels peuvent tout de même s'en servir comme prétexte pour diriger les utilisateurs vers de fausses pages de paiement; ne communiquez aucun code de sécurité ni mot de passe sans vérification indépendante. Si vous remarquez un accès suspect, fermez les sessions actives et remplacez les mots de passe construits selon le même modèle.

Utiliser un mot de passe différent pour chaque service en ligne empêche qu'une seule empreinte bcrypt dont le mot de passe a été retrouvé permette d'accéder à des comptes sans lien entre eux. Un gestionnaire de mots de passe facilite l'utilisation de longues chaînes aléatoires, tandis que l'authentification multifacteur empêche qu'un mot de passe exposé suffise à lui seul pour se connecter. Maintenez à jour les options de récupération de votre messagerie, activez les alertes de nouvelle session et examinez les règles de transfert que vous ne reconnaissez pas. Supprimez de vos comptes de mobilité les véhicules inutilisés, les anciennes plaques d'immatriculation et les coordonnées obsolètes, et fermez les comptes dont vous n'avez plus besoin. Les services de stationnement et de transport devraient tenir un inventaire des composants tiers, suivre les correctifs et limiter les accès, tout en surveillant les exportations volumineuses et les requêtes inhabituelles. Les systèmes de gestion des mots de passe devraient utiliser un sel unique pour chaque utilisateur, des paramètres de coût adaptés et une politique de recalcul des empreintes à mesure que le matériel devient plus performant.

Vérifiez votre adresse e-mail avec LeakData pour savoir si elle apparaît dans les données de la fuite de ParkMobile ou d'une autre fuite connue. Une correspondance ne signifie pas que les données de votre carte bancaire ou votre historique de stationnement ont été exposés; elle indique que l'adresse figurait dans le jeu de données de comptes validé. Adaptez vos mesures aux sept catégories de données énumérées et ne supposez pas que des champs exclus par l'enquête officielle ont été exposés. Si une correspondance est trouvée, déterminez si le mot de passe utilisé en 2021 a été réutilisé ailleurs, et sécurisez en priorité votre messagerie et les comptes liés à des moyens de paiement. Examinez les messages récents concernant le stationnement, les plaques d'immatriculation, les remboursements et les contraventions, et ouvrez l'application officielle plutôt que de suivre les liens contenus dans ces messages. Continuez à vous protéger en utilisant des mots de passe uniques, l'authentification multifacteur et une vérification indépendante des liens de paiement suspects.