Fuite de données chez pcTattletale

Les types de données observés dans cette fiche sont les informations sur les appareils, les adresses e-mail, les adresses IP, les noms, les mots de passe, les numéros de téléphone, les adresses postales, les SMS et les noms d’utilisateur. La présence du champ de mot de passe a été vérifiée; les autres comptes utilisant le même mot de passe présentent un risque. Les champs non vérifiés relatifs aux cartes de paiement, aux comptes bancaires, aux messages privés, aux dossiers médicaux ou à des informations de profil supplémentaires n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

Dans le contexte d’un logiciel de surveillance, les SMS et les données des appareils peuvent présenter un risque pour la vie privée, tant pour la personne qui ouvre le compte que pour le propriétaire de l’appareil surveillé. Une adresse e-mail seule présente un risque de messages indésirables; associée à un numéro de téléphone, une adresse, une adresse IP, une date de naissance, un mot de passe, des projets de voyage, des données partielles de carte ou des données d’appareil, elle facilite la création, par un attaquant, de messages ciblant précisément l’utilisateur. L’évaluation des risques a tenu compte de cet effet combiné.

Le périmètre a été vérifié à partir de 138 751 enregistrements datés de mai 2024. Les éléments confirmés ont été conservés, tandis que les éléments non confirmés ont été exclus. L’incident n’a pas été regroupé avec des jeux de données portant des noms similaires, des incidents concernant la même entreprise à d’autres périodes ou des références sectorielles incorrectes.

La fiche se limite au domaine pctattletale.com et n’est pas regroupée avec d’autres logiciels de suivi. Le nom de domaine, le nom de l’entreprise et les informations sur le secteur ont été conservés dans le contexte exact le plus restreint possible. En cas d’incertitude, les indicateurs de vérification ou les domaines des sites web ont été définis en conséquence; aucune responsabilité incertaine n’a ainsi été attribuée à une marque dans les informations présentées aux utilisateurs.

Les groupes d’utilisateurs à risque peuvent comprendre les personnes utilisant un compte pcTattletale, les propriétaires d’appareils surveillés et les utilisateurs figurant dans les registres d’assistance ou d’adhésion. Les utilisateurs pour lesquels une correspondance est trouvée devraient également évaluer leurs autres comptes utilisant la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou un mot de passe construit selon le même modèle, en dehors du service concerné.

La personne touchée n’est pas toujours celle qui a ouvert le compte; la personne utilisant l’appareil surveillé peut aussi être une victime indirecte. Un contexte lié à une messagerie professionnelle, à des comptes éducatifs, à des réservations d’hôtel, à des abonnements télécoms, à des communautés de joueurs, à des dons à des projets open source ou à un logiciel de surveillance peut accroître le risque d’ingénierie sociale. Des détails qui semblent exacts ne constituent pas, à eux seuls, un gage de confiance.

Les utilisateurs concernés devraient changer leurs mots de passe, rechercher sur leurs appareils des signes de surveillance non autorisée et prendre au sérieux les risques liés aux SMS. Pour les enregistrements comportant un champ de mot de passe, tous les comptes utilisant le même mot de passe devraient être mis à jour; pour ceux qui n’en comportent pas, l’attention devrait porter sur les risques liés aux e-mails, au téléphone, aux fausses notifications, à la vie privée et au rapprochement d’informations permettant d’identifier une personne.

Au lieu de cliquer sur les liens d’un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe de confiance. Ne considérez pas comme fiables les messages concernant des expéditions, des alertes de compte, des récompenses de jeu, l’assistance, des notifications aux donateurs, des réservations de voyage, des notifications de sécurité ou des renouvellements d’abonnement sans les vérifier par un canal indépendant.

La sécurité des appareils devrait être vérifiée régulièrement, et les autorisations des logiciels de surveillance ainsi que les accès aux comptes devraient être contrôlés à intervalles rapprochés. Les utilisateurs devraient régulièrement faire le tri dans leurs anciens comptes, supprimer les champs de profil inutiles et les noms d’utilisateur en double, et mettre à jour les numéros de téléphone et les adresses obsolètes. Un mot de passe unique pour chaque service et une vérification en deux étapes dès que possible devraient constituer la règle de base.

Pour les prestataires de services, il est nécessaire de minimiser les données, de protéger efficacement les mots de passe, de surveiller les journaux d’accès, de supprimer les champs inutiles et de disposer de procédures opérationnelles de notification des utilisateurs. Chez les fournisseurs de logiciels de surveillance, une fuite de données devient directement une menace pour la sécurité personnelle et la vie privée. Une explication exacte du périmètre fait également partie des efforts de sécurité; des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

Vérifiez d’abord cette fiche à l’aide de votre adresse e-mail. Si une correspondance est trouvée, considérez que les champs contenant des SMS, des informations sur les appareils, des adresses, des numéros de téléphone et des mots de passe peuvent être à risque; la sécurité des appareils et la sécurité des comptes doivent être examinées ensemble. L’absence de correspondance n’exclut pas totalement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; les comptes critiques devraient également être examinés.

Cette fiche a été vérifiée et son classement comme sensible a été maintenu; la description a précisé le contexte du logiciel de surveillance. Lors de cette révision, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible par les utilisateurs a été rédigée en turc dans une formulation originale, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.