Fuite de données chez QuestionPro

Les catégories de données dont la présence a été vérifiée sont les adresses e-mail, les adresses IP, les informations sur l’agent utilisateur du navigateur et les résultats d’enquêtes. Les conséquences de l’exposition des résultats dépendent de l’enquête : de simples avis sur un produit peuvent présenter un risque limité, tandis que des réponses permettant d’identifier une personne ou révélant des préférences privées peuvent faciliter des fraudes plus ciblées. Les mots de passe, les cartes de paiement et les pièces d’identité officielles ne font pas partie des catégories vérifiées dans cette fiche; il ne faut donc pas supposer qu’ils ont été exposés. En combinant une adresse e-mail, une adresse IP et des informations sur le navigateur, un attaquant peut préparer des invitations crédibles à participer à des études, de faux avis de récompense et des messages d’hameçonnage personnalisés.

La date consignée du 21 mai 2022 correspond à la date de téléchargement indiquée par la personne qui affirmait avoir obtenu le jeu de données; QuestionPro n’a confirmé publiquement ni cette date exacte ni la méthode technique d’accès. L’incident a été porté à la connaissance du public par une affirmation faisant état d’environ 100 GB de données et de plus de 22 millions d’adresses e-mail uniques. QuestionPro a confirmé avoir fait l’objet d’une tentative d’extorsion et a déclaré mener une enquête avec les forces de l’ordre, mais son communiqué initial ne confirmait pas qu’une fuite de données avait eu lieu. Le jeu de données a donc d’abord reçu le statut « incertain ». Par la suite, des personnes ayant reçu des notifications ont confirmé leurs propres informations ainsi que leur lien avec QuestionPro, ce qui a étayé le passage de cette fiche au statut « vérifié ». Le chiffre de 22 229 637 correspond au nombre d’adresses e-mail uniques présentes dans le jeu de données; certaines semblant avoir été générées par la plateforme, il ne doit pas être interprété comme un nombre exact de personnes distinctes. La vérification du jeu de données étaye l’existence d’un lien avec le service, sans constituer une reconnaissance publique d’une fuite par l’entreprise.

Le jeu de données peut inclure non seulement des personnes disposant directement d’un compte QuestionPro, mais aussi des personnes ayant répondu à une enquête menée par une autre organisation via la plateforme. Cette distinction est importante : la présence d’une adresse ne prouve pas, à elle seule, que la personne était cliente payante ou administratrice de la plateforme. Les participants à des études, les salariés répondant à des enquêtes sur l’engagement au travail, les clients remplissant des questionnaires sur leur expérience, les destinataires d’invitations à des études de marché et les personnes soumettant des formulaires doivent rester vigilants. Les utilisateurs d’adresses e-mail professionnelles peuvent être ciblés par de fausses enquêtes destinées aux salariés ou par des messages usurpant l’identité de leur organisation. Les métadonnées publiques ne classent pas le contenu détaillé de chaque réponse; il ne faut donc pas supposer que chaque entrée contient des réponses relatives à la santé, aux finances ou à d’autres sujets sensibles.

Vérifiez l’expéditeur avant d’ouvrir les liens d’une invitation inattendue à une enquête ou à une étude, ou d’un message inattendu proposant une récompense. Si un message prétend provenir d’un employeur, d’un client ou d’un organisme de recherche, vérifiez son authenticité via le site officiel de l’organisation ou un contact connu, plutôt qu’en utilisant les coordonnées fournies dans le message. Activez l’authentification multifacteur sur votre messagerie et examinez les sessions actives ainsi que les règles de transfert. Les mots de passe ne font pas partie des catégories de données vérifiées dans cet incident; cette fiche ne prouve donc pas, à elle seule, que tous les mots de passe ont été exposés. Toutefois, changez immédiatement un mot de passe si vous l’avez saisi dans un formulaire suspect ou si vous remarquez une session que vous ne reconnaissez pas. Interrompez votre participation si une enquête vous demande d’effectuer un paiement, de fournir un code de sécurité ou d’installer un logiciel d’accès à distance. Les utilisateurs en entreprise doivent signaler les fausses enquêtes destinées aux salariés et les demandes inhabituelles de collecte de données à leur équipe de sécurité.

Les organisations qui créent des enquêtes doivent éviter de recueillir des informations personnelles dont elles n’ont pas besoin, proposer des réponses anonymes ou pseudonymes lorsque cela est possible et supprimer les résultats après une durée de conservation définie. Les invitations doivent utiliser des domaines d’expédition vérifiables, présenter des informations claires sur la confidentialité et proposer aux participants un moyen de confirmer la demande par un canal indépendant. L’authentification multifacteur et les accès fondés sur les rôles doivent être obligatoires pour les comptes administrateurs, tandis que les exportations volumineuses et les comportements de téléchargement inhabituels doivent être surveillés. Les participants doivent fournir uniquement les informations nécessaires à l’enquête et éviter de saisir des mots de passe, des numéros d’identification, des données de paiement ou des informations sur d’autres personnes dans les champs de texte libre. Les organisations doivent former leur personnel à l’aide d’exemples d’hameçonnage ciblé utilisant des marques réelles, des sujets d’enquête et des détails techniques. La minimisation des données, la limitation des accès et des durées de conservation plus courtes réduisent les conséquences durables de toute exposition future.

Vérifiez votre adresse e-mail avec LeakData pour savoir si elle figure dans la fiche QuestionPro ou dans une autre fuite connue. Une correspondance ne signifie pas que votre mot de passe ou vos informations de paiement figuraient dans cet incident; elle indique que l’adresse était présente dans un jeu de données associé à des données d’enquêtes et à des données techniques d’utilisation. Certaines adresses ayant pu être générées par la plateforme, n’interprétez pas un résultat comme un décompte exact de personnes ou comme la preuve de l’existence d’un compte QuestionPro direct. En cas de correspondance, examinez les invitations récentes à des enquêtes, les avis de récompense et les liens vers des études, puis vérifiez l’expéditeur par un canal officiel avant d’ouvrir tout élément suspect. Si une adresse professionnelle est concernée, prévenez l’équipe de sécurité et vérifiez si des collègues ont reçu des messages similaires. Maintenez l’authentification multifacteur et la vérification attentive des liens comme mesures de protection permanentes.