Fuite de données chez Poshmark

Les types de données dont la présence dans la fuite de Poshmark est confirmée sont les adresses e-mail, les noms, les noms d’utilisateur, les informations sur le genre, les localisations géographiques et les mots de passe. La présence d’une adresse e-mail associée à un nom d’utilisateur permet aux attaquants de retrouver plus facilement le compte sur différentes plateformes. Des données de localisation, telles que le nom, le genre et la ville, peuvent rendre plus convaincants de faux messages d’assistance, des imitations de notifications d’achat et des tentatives d’escroquerie sous prétexte de livraison.

Même si les mots de passe sont protégés par des empreintes bcrypt, le risque ne disparaît pas entièrement. Des mots de passe faibles ou réutilisés peuvent faire l’objet de tentatives de prise de contrôle de comptes lorsque ces données sont croisées avec celles d’autres fuites. De plus, sur les plateformes de commerce social comme Poshmark, le croisement des noms d’utilisateur, des informations de profil et des centres d’intérêt liés aux achats accroît les risques d’hameçonnage ciblé, de faux messages de vente, de fausses notifications de retour et d’ingénierie sociale liée au non-paiement.

La date retenue pour la violation de données est mai 2018, et l’incident a été annoncé en 2019. L’ensemble vérifié comprend 36 395 491 enregistrements d’utilisateurs. Les notifications relatives à l’incident indiquaient que les informations financières et les adresses postales n’avaient pas été touchées. En revanche, des données importantes pour la sécurité des comptes, notamment les profils utilisateurs, les adresses e-mail, les villes, les préférences et les empreintes de mots de passe, étaient concernées.

Les catégories de données présentées sur cette page se limitent à celles de l’ensemble principal de comptes vérifiable : adresses e-mail, informations sur le genre, localisations géographiques, noms, mots de passe et noms d’utilisateur. Les informations dont la présence n’est pas confirmée pour chaque compte ne sont pas présentées comme des champs de données principaux. L’utilisateur peut ainsi voir clairement quelles mesures prendre pour sécuriser ses comptes, sans être confronté à une présentation superflue ou exagérée des risques.

Les acheteurs disposant d’un compte Poshmark, les vendeurs, les utilisateurs qui effectuent des achats via leur profil social et les personnes qui utilisent le même nom d’utilisateur sur plusieurs plateformes constituent le principal groupe à risque. Pour les vendeurs disposant d’un compte sur une place de marché, le croisement du nom d’utilisateur, de la ville, des informations de profil et de l’adresse e-mail peut servir à élaborer des messages de fausses commandes, de fausses demandes d’assistance ou de prétendues vérifications de compte. Pour les acheteurs, les tentatives d’hameçonnage portent notamment sur les réductions, les retours, l’expédition et la sécurité du compte.

Les personnes qui utilisent le même mot de passe sur différents sites d’achat ou comptes de messagerie sont davantage exposées. Même si les empreintes de mots de passe sont robustes, les attaquants peuvent tenter de deviner les mots de passe en rapprochant la même adresse e-mail et le même nom d’utilisateur d’autres ensembles de données. Pour les utilisateurs qui ont lié leur compte de réseau social à leur profil Poshmark, le risque de rapprochement entre profils personnels et de faux messages peut encore augmenter.

Les mots de passe doivent être changés immédiatement sur tous les comptes qui utilisent un mot de passe identique ou similaire à celui de Poshmark. Le nouveau mot de passe doit être unique, long et aléatoire, et être conservé dans un gestionnaire de mots de passe. Il convient de donner la priorité au compte de messagerie, aux autres plateformes d’achat, aux comptes de réseaux sociaux et aux services contenant des informations de paiement. Reprendre l’ancien mot de passe en le modifiant légèrement n’offre pas une protection suffisante.

L’authentification multifacteur doit être activée sur les comptes qui la prennent en charge. Pour Poshmark et les comptes de places de marché similaires, il convient de vérifier l’adresse e-mail enregistrée, l’historique des sessions, les comptes de réseaux sociaux liés, les préférences de notification et les informations de profil. Dans les messages invoquant une expédition, un retour, une vérification de vendeur, un problème de paiement ou la sécurité du compte, le nom de domaine doit être vérifié avant de cliquer sur un lien. Si une session suspecte ou une notification inattendue de réinitialisation du mot de passe est repérée, il convient de fermer les sessions et de changer le mot de passe.

L’incident Poshmark montre que l’évaluation des risques liés aux comptes d’achat et de commerce social ne doit pas se limiter aux informations de paiement : elle doit aussi prendre en compte les risques de rapprochement entre profils et d’hameçonnage. Les utilisateurs devraient employer des mots de passe différents pour leurs comptes d’achat, de réseaux sociaux, de messagerie et de services financiers, et privilégier des adresses e-mail distinctes lorsque cela est possible. Éviter de laisser des informations personnelles inutiles sur son profil et vérifier régulièrement les comptes de réseaux sociaux liés au profil réduit les risques à long terme.

Pour les personnes disposant d’un compte vendeur, le nom de marque, la ville, le nom d’utilisateur et les canaux de communication peuvent être plus visibles. Il est donc nécessaire de prendre l’habitude de vérifier les messages d’assistance, les liens vers des produits et les échanges avec les acheteurs afin de repérer d’éventuelles tentatives d’hameçonnage. Dans les entreprises, la surveillance des mots de passe divulgués et les formations à la sécurité visant à empêcher les salariés de réutiliser les mots de passe de leurs comptes d’achat personnels sur leurs comptes professionnels offrent une protection durable.

Si un résultat Poshmark apparaît lors d’une vérification dans Sécurité des comptes, cela signifie que l’adresse e-mail associée figure dans l’ensemble vérifié de comptes lié à la fuite de données de Poshmark de 2018. Ce résultat ne signifie pas que votre compte Poshmark actuel est compromis aujourd’hui. Il indique toutefois que l’adresse e-mail, le nom d’utilisateur, les informations de profil et l’empreinte de mot de passe utilisés par le passé ont pu faire l’objet d’une utilisation malveillante. Si vous avez utilisé le même mot de passe sur d’autres comptes, n’attendez pas pour agir.

La première étape consiste à sécuriser votre compte de messagerie, puis à mettre à jour tous les comptes qui utilisent un mot de passe identique ou similaire. Si vous constatez une connexion suspecte, un appareil que vous ne reconnaissez pas, un message de vente inattendu, une fausse demande d’assistance ou une notification de réinitialisation du mot de passe, il convient de lancer une vérification de sécurité du compte concerné. Cesser complètement de réutiliser les mots de passe, activer l’authentification multifacteur et prendre l’habitude de vérifier les noms de domaine dans les messages liés aux places de marché sont les mesures les plus efficaces à prendre lorsqu’un résultat Poshmark apparaît.