Fuite de données chez RentoMojo

Les types de données présents dans cette fiche sont les dates de naissance, les adresses e-mail, les informations sur le genre, les numéros d’identification officiels, les noms, les numéros de passeport, les mots de passe, les numéros de téléphone, les historiques d’achat ou de location et les profils sur les réseaux sociaux. Selon l’évaluation effectuée, les mots de passe étaient stockés sous forme de hachages bcrypt; néanmoins, la réutilisation des mots de passe présente un risque. Les champs non vérifiés relatifs aux cartes de paiement, aux comptes bancaires, aux messages privés, aux dossiers médicaux ou à des informations de profil supplémentaires n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

Les documents d’identité et les historiques de location peuvent rendre très convaincants de faux messages concernant un crédit, un dépôt, une livraison ou la vérification d’un compte. Une adresse e-mail seule présente un risque de messages indésirables; lorsqu’elle est associée à un numéro de téléphone, une adresse, une adresse IP, une date de naissance, un mot de passe, une pièce d’identité officielle, un dossier d’assistance, des informations sur un véhicule ou une adresse physique, il devient plus facile pour un attaquant de créer un message personnalisé destiné à l’utilisateur. L’évaluation des risques a tenu compte de cet effet combiné.

Le périmètre a été vérifié à partir de la fiche concernant les clients de RentoMojo datée d’avril 2023. Les champs confirmés ont été conservés et les champs non confirmés ont été exclus. L’incident n’a pas été regroupé avec des jeux de données aux noms similaires, des incidents concernant la même entreprise à d’autres périodes ou des références à un secteur incorrect.

La fiche se limite au nom de domaine rentomojo.com; aucun champ non vérifié relatif à un compte financier ou à une carte n’a été ajouté. Le nom de domaine, le nom de l’entreprise et les informations sur le secteur ont été maintenus dans le contexte exact le plus restreint possible. En cas d’incertitude, l’indicateur de vérification ou le champ du site web a été renseigné en conséquence; ainsi, aucune attribution incertaine de responsabilité à une marque n’a été présentée à l’utilisateur.

Les groupes d’utilisateurs à risque peuvent comprendre les clients indiens qui louent des meubles, des appareils électroménagers ou des produits similaires auprès de RentoMojo. Si une correspondance est trouvée pour vos données, vous devriez également examiner les autres comptes sur lesquels vous utilisez la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou la même structure de mot de passe en dehors du service concerné.

Les utilisateurs dont les informations d’identité et de passeport sont présentes doivent considérer le risque de fraude et d’utilisation abusive de leur identité comme élevé. La présence d’une adresse e-mail professionnelle, d’un forum de jeux vidéo, d’un dossier client lié à une moto, d’une application de centre commercial, d’une demande d’assistance, d’un compte de location, d’une liste marketing ou d’un contexte lié à un logiciel malveillant peut accroître le risque d’ingénierie sociale. Le seul fait que certains détails semblent exacts ne constitue pas un gage de fiabilité.

Si vous êtes concerné, vous devriez changer votre mot de passe RentoMojo et vérifier par les canaux officiels tout message relatif à une livraison, à un dépôt ou à un crédit qui vous demande un justificatif d’identité. Pour les fiches comportant un champ de mot de passe, le mot de passe doit être changé sur tous les comptes qui utilisent le même; pour celles qui n’en comportent pas, il convient de se concentrer sur les risques liés aux e-mails, au téléphone, aux fausses notifications, à la vie privée et au rapprochement de données d’identité.

Au lieu de cliquer sur les liens contenus dans un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée correspondante dans un gestionnaire de mots de passe de confiance. Ne vous fiez pas aux messages concernant une facture, une alerte sur un compte, une récompense dans un jeu, l’assistance, une expédition, le service client, un rendez-vous de maintenance, un avis public ou un renouvellement d’abonnement sans les vérifier par un canal indépendant.

Après avoir partagé des documents d’identité avec des services de location, il convient de mettre en place une surveillance des risques d’usurpation d’identité, d’utiliser un mot de passe unique et de surveiller l’activité des comptes. Vous devriez régulièrement supprimer les anciens comptes, les champs de profil inutiles, les noms d’utilisateur en double ainsi que les anciens numéros de téléphone et adresses. Un mot de passe unique pour chaque service et une vérification en deux étapes partout où elle est possible devraient être la règle de base.

Du côté des prestataires de services, la minimisation des données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs inutiles et des procédures de notification des utilisateurs prêtes à être utilisées sont nécessaires. Les entreprises de location devraient conserver les documents d’identité le moins longtemps possible et en restreindre l’accès au strict minimum. Une description exacte du périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

Vous devriez d’abord vérifier si votre adresse e-mail figure dans cette fiche. En cas de correspondance, il convient de considérer que les champs relatifs aux pièces d’identité officielles, aux passeports, aux numéros de téléphone, aux achats et aux mots de passe peuvent être à risque. L’absence de correspondance n’exclut pas totalement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; les comptes critiques devraient également être examinés.

Cette fiche a été vérifiée et mise à jour avec le statut sensible. Lors de cette modification, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible par l’utilisateur a été rédigée en turc sous la forme d’un texte original, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.