Fuite de données chez Rightbiz

Les types de données observés dans cette fiche sont les adresses e-mail, les noms, les numéros de téléphone et les adresses postales. Le champ du mot de passe n’a pas été vérifié; le risque concerne les communications et les offres d’emploi. Les champs non vérifiés relatifs aux cartes de paiement, aux comptes bancaires, aux messages privés, aux dossiers médicaux ou à des informations de profil supplémentaires n’ont pas été ajoutés à la liste des catégories de données; seuls les champs étayés ont été conservés.

Les messages portant sur la vente d’entreprises, les franchises, les courtiers ou les investissements peuvent paraître plus crédibles lorsqu’ils sont accompagnés d’un nom, d’un numéro de téléphone et d’une adresse. Le simple fait de demander une adresse e-mail crée un risque de messages indésirables; lorsqu’elle est associée à un numéro de téléphone, une adresse, une IP, une date de naissance, un mot de passe, une pièce d’identité officielle, un dossier d’assistance, des informations sur un véhicule ou une adresse postale, il devient plus facile pour un attaquant de créer des messages personnalisés pour l’utilisateur. L’évaluation des risques a tenu compte de cet effet combiné.

Le périmètre a été vérifié : il comprend 65 376 adresses e-mail à l’été 2023. Les champs vérifiés ont été conservés, tandis que les champs non confirmés ont été exclus. L’incident n’a pas été regroupé avec des jeux de données portant des noms similaires, des incidents concernant la même entreprise à d’autres périodes ou des attributions sectorielles erronées.

L’enregistrement a été associé au nom de domaine rightdev.co.uk et n’a pas été fusionné avec d’autres enregistrements de plateformes de vente d’entreprises. Le nom de domaine, le nom de l’entreprise et les informations sectorielles ont été maintenus dans le contexte exact le plus restreint possible. En cas d’incertitude, l’indicateur de vérification ou le champ du site web a été renseigné en conséquence; la responsabilité d’une marque n’a donc pas été présentée à l’utilisateur comme certaine lorsqu’elle n’était pas établie.

Les utilisateurs susceptibles d’être exposés aux risques comprennent les personnes qui publient des annonces sur Rightbiz, celles qui souhaitent acheter des services ou celles qui remplissent un formulaire de contact. Si une correspondance est trouvée pour vos données, vous devriez également examiner vos autres comptes sur lesquels vous utilisez la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou un mot de passe construit sur le même modèle, en dehors du service concerné.

Les utilisateurs dont l’adresse professionnelle ou les coordonnées téléphoniques sont présentes peuvent être ciblés par de faux messages d’investissement, de paiement ou de conseil. La présence d’une adresse e-mail professionnelle, d’un forum de jeux vidéo, d’une fiche client liée à une moto, d’une application de centre commercial, d’une demande d’assistance, d’un compte de location, d’une liste marketing ou d’un contexte de logiciel malveillant peut accroître le risque d’ingénierie sociale. Des détails qui semblent exacts ne suffisent pas, à eux seuls, à rendre un message digne de confiance.

Si vous êtes concerné, vérifiez les demandes relatives à la vente d’entreprises, aux investissements, au conseil et aux paiements par les canaux officiels. Pour les enregistrements comportant un champ de mot de passe, modifiez le mot de passe de tous les comptes qui utilisent le même; pour ceux qui n’en comportent pas, concentrez-vous sur les risques liés aux e-mails, au téléphone, aux fausses notifications, à la vie privée et au recoupement des identités.

Au lieu de cliquer sur les liens d’un message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe fiable. Ne considérez pas comme authentiques les messages relatifs à une facture, une alerte concernant un compte, une récompense dans un jeu, une assistance, une expédition, un service client, un rendez-vous d’entretien, un avis public ou un renouvellement d’abonnement sans les vérifier par un canal indépendant.

Sur les plateformes d’offres d’emploi, les coordonnées personnelles et professionnelles doivent être séparées, et la visibilité des adresses doit être limitée lorsqu’elle n’est pas nécessaire. Faites régulièrement le tri dans vos anciens comptes, les champs de profil inutiles, les noms d’utilisateur utilisés sur plusieurs comptes et les anciennes coordonnées téléphoniques et postales. Un mot de passe unique pour chaque service et une vérification en deux étapes lorsque cela est possible devraient être des règles de base.

Du côté des prestataires de services, il est nécessaire de minimiser les données, de protéger solidement les mots de passe, de surveiller les journaux d’accès, de supprimer les champs inutiles et de disposer de procédures opérationnelles de notification des utilisateurs. Les plateformes de vente doivent stocker séparément les données des annonces et les historiques de communication. Expliquer correctement le périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire l’utilisateur à prendre des mesures inadaptées.

Pour cette fiche, effectuez avant tout une vérification à l’aide de votre adresse e-mail. Si une correspondance est trouvée, considérez que votre numéro de téléphone et votre adresse postale peuvent être utilisés dans des messages à caractère professionnel. L’absence de correspondance n’exclut pas totalement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; examinez également vos comptes critiques.

Cette fiche a conservé son statut vérifié; l’indicateur de données sensibles est resté désactivé, car la présence de mots de passe ou de données de catégories privées n’avait pas été vérifiée. Lors de cette révision, les champs de données ont été conservés sous forme de catégories canoniques en anglais, la description visible par l’utilisateur a été rédigée en turc dans un texte original, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.