BVD 2021: exposition de données professionnelles publiques

Les catégories de données dont la présence a été vérifiée comprennent les dates de naissance, les adresses e-mail, les intitulés de poste, les noms, les numéros de téléphone et les adresses physiques. Ces dernières étaient pour la plupart considérées comme des adresses d’entreprise. Toutefois, la présence de noms, d’intitulés de poste, de numéros de téléphone et d’adresses e-mail dans un même ensemble peut fournir un contexte utile aux tentatives de fraude. Un message de fournisseur, une demande de la direction, une prise de contact pour un recrutement ou un appel d’assistance effectué au nom d’une personne peut sembler plus crédible s’il s’appuie sur des détails réels de son environnement professionnel.

Des identifiants durables, comme une date de naissance, peuvent accroître le risque d’usurpation d’identité et d’ingénierie sociale lorsqu’ils sont associés à des informations professionnelles. Les adresses e-mail peuvent aider les attaquants à sélectionner les cibles de campagnes d’hameçonnage, tandis que les numéros de téléphone directs peuvent servir à des fraudes par téléphone ou à exercer des pressions par messages. Les mots de passe, les noms d’utilisateur, les données de carte de paiement, les informations de session et les secrets d’authentification ne font pas partie des données dont la présence a été vérifiée. Cette limite est essentielle pour comprendre ce qu’une correspondance peut ou ne peut pas indiquer.

L’événement est considéré comme ayant eu lieu vers août 2021. Des rapports évoquent un ensemble de données plus vaste, représentant des centaines de gigaoctets et des centaines de millions de lignes brutes. Le nombre de lignes brutes n’équivaut pas à un nombre de personnes, d’adresses e-mail ou de comptes utilisateurs uniques. Le chiffre public est de 27 917 714 adresses e-mail uniques. Il n’indique ni le nombre d’occurrences d’une adresse, ni si elle correspondait à plusieurs champs, ni si les informations professionnelles associées sont restées à jour au fil du temps.

Il a été vérifié que les données constituaient un ensemble d’informations professionnelles publiques détenu par un client. Aucun élément ne témoigne d’une intrusion non autorisée dans l’infrastructure du fournisseur de services, ni d’une exposition des environnements des clients de sa société mère. Cette distinction rend inexacte la qualification de l’événement comme une compromission directe des systèmes du fournisseur. Il n’est pas non plus possible de conclure que chaque adresse e-mail était accompagnée de chacun des champs répertoriés, ou que toutes les informations étaient à jour au moment de leur publication.

Les salariés et les dirigeants dont l’adresse e-mail professionnelle, le numéro de téléphone direct, l’intitulé de poste ou l’adresse physique figure dans cet ensemble sont des cibles plus visibles. Les attaquants peuvent utiliser ces données pour préparer des demandes de paiement qui semblent provenir de la hiérarchie interne, de faux échanges avec des fournisseurs, des prises de contact au nom des ressources humaines ou des appels semblant émaner d’une équipe d’assistance. Les personnes qui travaillent dans la finance, les achats, la paie ou l’assistanat de direction devraient faire preuve d’une vigilance particulière, car les intitulés de poste peuvent rendre plus plausibles les suppositions des attaquants sur les processus de l’entreprise.

Une date de naissance associée à un nom et à des coordonnées peut faciliter le rapprochement entre des profils personnels et professionnels. Même lorsqu’une ancienne fonction, un intitulé de poste ou une adresse d’entreprise n’est plus d’actualité, un attaquant peut s’en servir pour établir un premier lien de confiance. Le risque pour l’organisation ne se limite pas aux personnes présentes dans l’ensemble de données; les équipes voisines peuvent également être ciblées au moyen de messages réalistes et de fausses demandes liées aux procédures de travail.

Vérifiez par un autre canal toute demande inattendue de paiement, de modification de coordonnées bancaires ou de partage de documents, ainsi que toute instruction semblant provenir de la direction générale. Des adresses e-mail et des numéros de téléphone familiers ne prouvent pas l’authenticité d’un message. Pour les demandes sensibles faites au nom d’une personne connue, utilisez un numéro de téléphone déjà connu, une confirmation en personne ou un autre canal de communication de l’entreprise.

Maintenez l’authentification multifacteur activée pour votre messagerie professionnelle et prêtez attention aux avertissements des logiciels de messagerie concernant les liens et les pièces jointes suspects. La présence de mots de passe dans ces données n’a pas été vérifiée : un mot de passe ne doit donc pas être considéré comme exposé sur la seule base d’une correspondance. La protection générale des comptes nécessite néanmoins des mots de passe robustes et uniques, et les messages suspects devraient être rapidement signalés à l’équipe de sécurité de l’organisation.

Les organisations devraient examiner régulièrement les coordonnées de leurs salariés et dirigeants visibles sur le web public, supprimer les dates de naissance et les numéros de téléphone directs qui ne sont pas nécessaires, et limiter l’exposition en ligne des postes à haut risque aux besoins professionnels légitimes. Les procédures critiques de paiement, de changement de fournisseur et de gestion des documents confidentiels devraient exiger une double approbation et une confirmation par un canal distinct. Les politiques d’authentification des domaines de messagerie devraient rester actives, et les salariés devraient être formés à reconnaître les signes d’usurpation d’identité dans les communications.

Chacun devrait examiner ses profils professionnels et ses préférences de contact, retirer les informations professionnelles obsolètes et, dans la mesure du possible, réduire le nombre de données visibles par tous. Des phrases de vérification communes aux équipes d’assistance informatique, de ressources humaines et de finance peuvent rendre plus difficile l’utilisation d’informations périmées par les attaquants pour gagner la confiance de leurs interlocuteurs. Les équipes de sécurité peuvent améliorer l’efficacité de leurs défenses en évaluant les signalements d’hameçonnage et les scénarios de paiement frauduleux lors d’exercices réguliers.

La vérification d’une adresse e-mail peut indiquer si elle figure dans cet ensemble de données professionnelles. Une correspondance ne prouve pas que tous les champs répertoriés apparaissaient sur la même ligne, que les informations sont toujours à jour ou qu’un compte a fait l’objet d’un accès. Le chiffre indiqué représente des identifiants e-mail uniques et ne doit pas être interprété comme le nombre total de comptes touchés. Utilisez le résultat pour revoir vos habitudes de communication face au risque de fraude ciblée.

Si une correspondance apparaît, examinez avec une vigilance accrue les demandes inattendues reçues par votre messagerie professionnelle, par téléphone ou via vos profils professionnels. Les salariés devraient prévenir leur équipe de sécurité ou leur service informatique et signaler les demandes de paiement, d’accès ou de documents qui utilisent leur nom ou leur intitulé de poste. L’authentification multifacteur, des mots de passe uniques et des options de récupération à jour restent importants pour protéger les comptes personnels. Ces mesures réduisent le risque lié au regroupement d’informations publiques.