Liste de spam de River City Media

La liste de spam de River City Media comprend des catégories de données dont l'exposition est confirmée : adresses e-mail, adresses IP, noms et adresses postales. Ces champs ne permettent pas à eux seuls d'accéder à un compte. Ils augmentent toutefois le risque de spam ciblé, d'hameçonnage, d'escroqueries personnalisées, de fausses notifications par courrier postal et de rapprochement de profils. Si l'adresse e-mail constitue le principal canal pour contacter l'utilisateur, le nom et l'adresse peuvent rendre les messages plus convaincants. L'adresse IP peut fournir des indications sur la localisation approximative ou le fournisseur d'accès.

Dans ce cas, les mots de passe, les cartes de paiement, les comptes bancaires, les numéros de pièces d'identité officielles et les messages privés ne font pas partie des catégories de données dont l'exposition est confirmée. Cette distinction est importante pour orienter l'utilisateur vers les bonnes mesures. Se concentrer uniquement sur le changement de mot de passe alors qu'aucun mot de passe n'a été divulgué ne suffit pas : le véritable risque est que les messages de spam et d'ingénierie sociale deviennent plus personnalisés. De fausses notifications qui s'adressent à l'utilisateur par son nom ou qui font référence à son adresse ou à sa région peuvent sembler plus fiables.

Compte tenu du contexte de cette liste de spam, le risque peut persister longtemps. Les adresses e-mail et les informations personnelles peuvent être recoupées avec d'autres listes marketing, des données issues de fuites antérieures ou des profils accessibles au public. Ces rapprochements aident les attaquants à contacter une même personne par plusieurs canaux. En particulier, lorsqu'une adresse e-mail professionnelle est associée à une adresse postale ou à un nom, de faux avis de fournisseurs, de fausses factures, des demandes de renouvellement d'adhésion, des appels aux dons ou des avis relatifs à un abonnement peuvent devenir plus convaincants.

Le périmètre confirmé comprend l'exposition de fichiers de données de spam associés à River City Media au cours du mois de janvier 2017, leur ajout aux enregistrements de fuites de données confirmées le 8 mars 2017 et l'impact sur 393 430 309 adresses e-mail uniques. Le domaine répertorié est rivercitymediaonline.com et l'incident est classé comme une exposition de liste de spam. Il convient donc de l'analyser comme l'exposition d'un vaste ensemble de données personnelles collectées dans le cadre d'opérations de marketing et de spam, plutôt que comme une fuite d'informations de comptes utilisateurs provenant d'un site classique nécessitant une inscription.

Le nombre d'enregistrements bruts serait d'environ 1,4 milliard selon les chiffres rapportés, mais le nombre d'adresses e-mail uniques doit servir de référence pour évaluer l'impact sur les utilisateurs. Une même personne peut figurer sur plusieurs lignes ou apparaître dans différentes listes. Le nombre total de lignes brutes ne doit donc pas être confondu avec le nombre de comptes uniques touchés. Le nombre de comptes concernés affiché dans le système correspond au nombre confirmé de comptes uniques.

L'incident ne doit pas être présenté comme résultant directement d'une compromission de mots de passe. Les champs dont l'exposition est confirmée sont l'adresse e-mail, l'adresse IP, le nom et l'adresse postale. Les numéros de téléphone, les profils sur les réseaux sociaux, la géolocalisation ou les informations financières ne doivent pas être ajoutés aux catégories de données confirmées, même si certains rapports les mentionnent dans d'autres contextes. S'en tenir à un périmètre précis et établi évite à la fois les fausses alertes et une inquiétude inutile concernant les mots de passe.

Le principal groupe à risque est constitué des personnes dont l'adresse e-mail figure sur des listes marketing ou de spam. L'utilisateur n'a pas nécessairement eu de contact direct avec River City Media : son adresse a pu être ajoutée à la liste par l'intermédiaire d'une autre campagne, d'un formulaire d'inscription, d'un jeu-concours, d'un consentement à des communications marketing de tiers ou de jeux de données antérieurs. Un résultat de correspondance ne permet donc pas d'affirmer que l'utilisateur a ouvert un compte auprès de l'entreprise concernée. Il est plus juste d'en déduire que l'adresse figurait dans des ensembles de données personnelles circulant dans le cadre d'une opération de spam.

Le deuxième groupe à risque est constitué des personnes dont le nom et l'adresse postale sont visibles avec leur adresse e-mail. Pour ces personnes, le risque ne se limite pas aux messages numériques : la probabilité de recevoir par courrier postal de fausses factures, de faux avis d'expédition, des appels aux dons ou des lettres de renouvellement d'adhésion peut également augmenter. La présence d'une adresse contribue à rendre les faux messages plus crédibles. Avant de faire confiance à un message contenant des informations personnelles, vous devez en vérifier l'authenticité par un autre canal.

Le troisième groupe à risque comprend les adresses e-mail professionnelles et les équipes qui communiquent beaucoup avec l'extérieur, comme les services commerciaux, l'assistance, les finances et les ressources humaines. Les adresses professionnelles présentes dans les listes de spam peuvent être utilisées pour de l'hameçonnage ciblé et de fausses offres d'emploi. Cela ne signifie pas que les systèmes de l'entreprise ont été compromis, mais peut faciliter le ciblage des employés et des services par les attaquants. Les organisations doivent surveiller la présence des adresses par domaine afin de déterminer quels groupes à risque traiter en priorité.

Si une vérification indique que vous figurez dans la liste de spam de River City Media, vous devez avant tout vous méfier des escroqueries personnalisées dans les e-mails reçus. Les messages contenant votre nom, votre adresse ou des informations sur votre région ne doivent pas être considérés automatiquement comme fiables. Lorsqu'un message concerne une facture, une expédition, un paiement, une promotion, un abonnement, un don ou une alerte de sécurité, saisissez vous-même l'adresse de l'organisme concerné dans le navigateur ou privilégiez un canal de communication connu plutôt que de cliquer sur un lien.

La deuxième étape consiste à renforcer la sécurité de votre compte de messagerie. Même si les mots de passe ne font pas partie des catégories de données dont l'exposition est confirmée dans cet incident, la présence de votre adresse e-mail sur une liste de spam peut augmenter le nombre d'attaques visant votre compte. Activez l'authentification multifacteur sur votre compte de messagerie, maintenez à jour l'adresse et le numéro de téléphone de récupération, et vérifiez les sessions actives ainsi que les règles de transfert. Si vous constatez une session suspecte, un filtre inattendu ou un appareil que vous ne reconnaissez pas, prenez immédiatement des mesures de sécurité.

La troisième étape consiste à ajuster les filtres antispam et les règles de blocage. Plutôt que de cliquer sans discernement sur des liens externes, utilisez les options de signalement des spams et de blocage de votre logiciel de messagerie de confiance. En entreprise, toute augmentation des tentatives de spam et d'hameçonnage visant un même domaine doit être signalée à l'équipe de sécurité. Les messages contenant des adresses et des noms peuvent notamment servir d'exemples lors des formations de sensibilisation.

Pour vous protéger à long terme, séparez vos adresses e-mail selon leur usage, utilisez des adresses uniques ou des alias pour les comptes importants et limitez les autorisations marketing inutiles. Communiquer votre adresse postale et votre nom dans chaque formulaire facilite le rapprochement de votre profil dans de futurs jeux de données. Fermez les comptes inutiles, faites le tri dans vos anciens abonnements à des newsletters et examinez régulièrement les services avec lesquels vous partagez vos informations personnelles.

Pour les organisations, une stratégie durable consiste à surveiller la présence des adresses e-mail des employés dans des fuites de données externes et à traiter les attaques issues du spam en tenant compte des risques pour l'activité. Les équipes marketing, commerciales, d'assistance et de direction peuvent être plus exposées en raison de leurs contacts plus fréquents avec l'extérieur. La MFA, les passerelles de messagerie sécurisées, la protection du domaine, la sensibilisation des employés et les procédures de validation des factures visant à déjouer les fausses factures doivent être mises en œuvre conjointement. La vérification par un second canal doit devenir la norme pour les demandes de paiement et de changement de fournisseur.

La minimisation des données est également l'un des enseignements durables de cet incident. Les entreprises ne doivent pas collecter de champs inutiles dans les données de prospects et de campagnes. Elles doivent limiter les durées de conservation et surveiller leurs partenaires marketing tiers. De votre côté, vous pouvez réduire le risque en masquant votre adresse e-mail, en utilisant des filtres antispam robustes, en activant les notifications de sécurité et en vérifiant régulièrement si vos données figurent dans des fuites. Même si les grandes listes de spam ne disparaissent pas entièrement, réduire la quantité d'informations personnelles qui circulent complique le travail des attaquants.

Si votre adresse e-mail apparaît dans la fuite de données de la liste de spam de River City Media, n'en déduisez pas que vous êtes directement client de l'entreprise concernée. Il est plus juste de considérer que votre adresse e-mail et, dans certains cas, des champs comme votre nom, votre adresse IP ou votre adresse postale ont pu figurer dans des fichiers de données utilisés pour des opérations de spam. L'essentiel est de savoir que ces informations pourraient servir à personnaliser des messages frauduleux et de vérifier soigneusement les demandes reçues.

Si la vérification révèle une correspondance, activez l'authentification multifacteur sur votre compte de messagerie, renforcez les filtres antispam, signalez les messages suspects et vérifiez les demandes d'informations personnelles par un autre canal. Pour les adresses professionnelles, un suivi par domaine permet de comprendre quels groupes d'employés sont susceptibles d'être davantage ciblés. Des vérifications régulières des enregistrements permettent de détecter rapidement le risque lié à la réutilisation d'anciennes listes de spam dans de nouvelles tentatives de fraude.