Fuite de données chez Rostelecom Smart Home

Lorsque des adresses e-mail, des numéros de téléphone, des adresses IP et des informations sur les appareils figurent ensemble dans des comptes de télécommunications et de maison connectée, des attaquants peuvent déterminer quel service utilise une personne, avec quel appareil elle se connecte et par quels canaux de communication ils peuvent la cibler. Les empreintes de mots de passe ne sont pas des mots de passe en clair; toutefois, si l’algorithme de hachage est faible ou si le mot de passe est réutilisé, des tentatives de cassage hors ligne sont possibles. Lorsque le numéro de téléphone et l’adresse e-mail figurent sur la même ligne, les faux appels d’assistance technique, les messages demandant de mettre à jour les informations de paiement et les liens envoyés sous prétexte de sécuriser un appareil deviennent plus convaincants. Les adresses IP peuvent être détournées à des fins de ciblage géographique et d’analyse des anomalies de session.

Des analyses techniques indépendantes ont associé cet incident au service de maison connectée de Rostelecom. Le nombre total d’enregistrements est proche d’une liste à l’autre, sans être exactement identique; la fiche LeakData indique donc un périmètre d’environ 809 000 lignes, sans garantir le nombre de personnes distinctes. Certains champs peuvent ne pas être renseignés sur certaines lignes. Cet ensemble de données ne doit pas être considéré comme l’intégralité de la base générale des clients de Rostelecom; il concerne les comptes de maison connectée et les champs relatifs à l’identité, aux coordonnées, aux connexions et aux appareils associés à ce service. Aucune affirmation concernant la présence de mots de passe en clair ou de données de cartes de paiement n’a été ajoutée.

Les principaux groupes à risque sont les utilisateurs de Rostelecom Smart Home ou de comptes similaires, les propriétaires d’appareils domotiques et les personnes qui réutilisent les identifiants de connexion de ce service sur d’autres comptes. Les comptes ouverts au nom de membres de la famille, les comptes d’appareils utilisés dans des logements loués ou les anciens abonnements peuvent également présenter un risque. Des attaquants peuvent tenter de tromper les utilisateurs avec des messages portant sur l’assistance technique, la mise à jour d’un modem ou d’un appareil connecté, le renouvellement d’un abonnement ou des alertes de sécurité. Puisque les numéros de téléphone et les adresses e-mail ont été divulgués ensemble, les attaques peuvent passer par des SMS, des e-mails et des appels.

Les utilisateurs dont l’adresse e-mail figure dans ces données doivent changer leur mot de passe sur le service concerné ainsi que sur tous les comptes où ils utilisent le même mot de passe. Utiliser un gestionnaire de mots de passe, attribuer un mot de passe unique à chaque service et activer l’authentification multifacteur sont des mesures essentielles. Il convient également de vérifier les panneaux de gestion des appareils domotiques, les interfaces des modems et les comptes des applications mobiles associées. Les sessions d’appareils inconnus doivent être fermées, les demandes de mise à jour logicielle provenant de connexions non fiables doivent être rejetées, et les logiciels des appareils ne doivent être mis à jour que par l’interface officielle. Les demandes d’assistance technique reçues par téléphone doivent être vérifiées par un canal indépendant de l’identité déclarée par l’interlocuteur.

Les comptes de maison connectée exigent un niveau de sécurité plus élevé que les comptes de forums ordinaires. Les utilisateurs peuvent associer leurs comptes d’appareils à une adresse distincte de leur adresse e-mail personnelle, surveiller régulièrement les notifications et supprimer de leur compte les appareils inutilisés. Pour les organisations, il est important de protéger les empreintes de mots de passe avec des algorithmes robustes, de ne pas stocker les identifiants des appareils dans la même table que des champs personnels superflus et de réduire le volume des anciens enregistrements après l’expiration des abonnements. La communication après une violation de données doit également être claire pour les services de télécommunications et de maison connectée : l’utilisateur doit être informé précisément des éléments susceptibles d’avoir été touchés et des mesures nécessaires sur ses appareils.

La vérification sur LeakData indique si votre adresse e-mail correspond à un enregistrement de la fuite Rostelecom Smart Home. En cas de correspondance, prenez des mesures non seulement sur le compte concerné, mais aussi sur les autres comptes où vous utilisez la même adresse e-mail et un mot de passe similaire. Accordez une attention particulière aux appareils de votre domicile, à la gestion de votre modem, aux caméras connectées au cloud, aux systèmes d’alarme et aux comptes auprès d’opérateurs mobiles. L’absence de correspondance ne signifie pas nécessairement que vous n’avez jamais utilisé ce service; les comptes ouverts avec une autre adresse e-mail, un ancien numéro de téléphone ou au nom d’un membre de votre famille doivent également être vérifiés. Cette fiche constitue un avertissement précoce lorsque des coordonnées sont associées à des informations sur les appareils.