Fuite de données chez PoinCampus

Les types de données observés dans cette fiche sont les dates de naissance, les adresses e-mail, les noms et les numéros de téléphone. La présence d’un champ de mot de passe ou de carte de paiement n’a pas été vérifiée. Les champs non vérifiés relatifs aux cartes de paiement, aux comptes bancaires, aux messages privés, aux dossiers médicaux ou à des informations de profil supplémentaires n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

Dans le contexte d’une plateforme éducative, de faux messages concernant des cours, des certificats, des comptes étudiants ou des notifications de paiement peuvent sembler convaincants. Une adresse e-mail seule présente un risque de messages indésirables; lorsqu’elle est associée à un numéro de téléphone, une adresse, une adresse IP, une date de naissance, un mot de passe, des projets de voyage, des informations partielles de carte de paiement ou des données d’appareil, il devient plus facile pour un attaquant de créer des messages ciblant spécifiquement l’utilisateur. L’évaluation du risque a tenu compte de cet effet combiné.

Le périmètre a été confirmé à partir de l’enregistrement (89.116) daté de novembre 2024. Les éléments confirmés ont été conservés, tandis que les éléments non confirmés ont été exclus. L’incident n’a pas été regroupé avec des jeux de données portant des noms similaires, des incidents survenus à d’autres périodes au sein de la même entreprise ou des références sectorielles incorrectes.

La fiche se limite au domaine poincampus.com et n’a pas été regroupée avec celles d’autres plateformes éducatives. Le nom de domaine, le nom de l’entreprise et les informations sectorielles ont été conservés dans le contexte exact le plus restreint possible. En cas d’incertitude, l’indicateur de vérification ou le domaine du site web a été défini en conséquence; ainsi, aucune responsabilité incertaine n’a été attribuée à une marque dans les informations présentées aux utilisateurs.

Les groupes d’utilisateurs à risque peuvent comprendre les étudiants de PoinCampus, les participants aux cours et les utilisateurs ayant ouvert un compte éducatif. Les utilisateurs pour lesquels une correspondance a été trouvée devraient également examiner leurs autres comptes sur lesquels ils utilisent la même adresse e-mail, le même numéro de téléphone, le même identifiant ou le même modèle de mot de passe en dehors du service concerné.

Les informations de date de naissance et de téléphone augmentent particulièrement les risques pour la vie privée et les risques d’ingénierie sociale dans les profils étudiants. Un contexte lié à une adresse e-mail professionnelle, un compte éducatif, une réservation d’hôtel, un abonnement télécom, une communauté de joueurs, un don à un projet open source ou un logiciel de suivi peut accroître le risque d’ingénierie sociale. Des détails qui semblent exacts ne constituent pas, à eux seuls, un gage de fiabilité.

Si vous êtes concerné, vérifiez auprès de la plateforme officielle les messages relatifs à la formation, aux certificats, aux paiements de cours et à la vérification du numéro de téléphone. Pour les enregistrements contenant un champ de mot de passe, changez le mot de passe de tous les comptes qui utilisent le même; pour les enregistrements sans champ de mot de passe, concentrez-vous sur les risques liés aux e-mails, au téléphone, aux fausses notifications, à la vie privée et au rapprochement des identités.

Au lieu de cliquer sur les liens d’un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe fiable. Ne considérez pas comme fiables les messages concernant une livraison, une alerte de compte, une récompense de jeu, l’assistance, une notification aux donateurs, une réservation de voyage, une notification de sécurité ou un renouvellement d’abonnement sans les avoir vérifiés par un canal indépendant.

Limitez le partage inutile des dates de naissance et des numéros de téléphone sur les plateformes éducatives, et utilisez des mots de passe uniques pour les comptes étudiants. Faites régulièrement le tri dans vos anciens comptes, les champs de profil inutiles, les identifiants dupliqués et les anciennes coordonnées téléphoniques et postales. Un mot de passe unique pour chaque service et l’authentification à deux facteurs partout où elle est possible devraient constituer la règle de base.

Du côté des fournisseurs de services, la minimisation des données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs inutiles et des procédures opérationnelles de notification des utilisateurs sont nécessaires. Les plateformes éducatives devraient protéger plus strictement les coordonnées et les dates de naissance des jeunes utilisateurs. Une explication exacte du périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire les utilisateurs à prendre des mesures inadaptées.

Commencez par vérifier cette fiche à l’aide de votre adresse e-mail. Si une correspondance est trouvée, partez du principe que votre date de naissance, votre numéro de téléphone, votre nom et votre adresse e-mail peuvent être à risque; vérifiez les messages ayant trait à l’éducation. L’absence de correspondance n’exclut pas totalement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; examinez également vos comptes critiques.

Cette fiche a été vérifiée et mise à jour pour être marquée comme sensible. Lors de cette révision, les champs de données ont été conservés sous forme de classes canoniques en anglais, la description visible par les utilisateurs a été rédigée en turc sous la forme d’un texte original, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.