Fuite de données de Rush My Passport en 2020

Les champs figurant dans la fiche Rush My Passport sont particulièrement sensibles en raison du contexte des demandes de passeport et des services documentaires. L’adresse e-mail et le numéro de téléphone permettent de cibler directement l’utilisateur; le nom complet et la date de naissance peuvent être détournés pour répondre à des questions de vérification d’identité; l’adresse postale peut rendre plus crédibles de faux messages concernant la livraison de documents, la modification d’un rendez-vous, des consignes de livraison ou la finalisation d’une demande. Lorsque ces informations sont réunies, des attaquants peuvent préparer des messages qui ne se limitent pas à un hameçonnage générique, mais donnent l’impression de s’inscrire dans une véritable démarche documentaire en cours.

Le principal risque dans ce cas est que le contexte d’un service de passeport pousse l’utilisateur à prendre une décision précipitée. Des attaquants peuvent envoyer de faux liens sous prétexte de documents manquants, de retards de livraison, de changements de rendez-vous, de frais de dossier, de vérification d’identité ou de confirmation d’adresse. Si le message contient le véritable nom de l’utilisateur, son numéro de téléphone ou son adresse, celui-ci peut plus facilement le croire authentique. Les utilisateurs de Rush My Passport devraient donc vérifier les e-mails et SMS reçus, non pas en suivant le lien qu’ils contiennent, mais en passant par le domaine officiel qu’ils connaissent ou par un canal de communication fiable déjà utilisé.

Pour les utilisateurs, la priorité est de traiter avec davantage de prudence les demandes de vérification reçues par e-mail et par téléphone. Si la même adresse e-mail sert également pour des comptes liés à la finance, aux voyages, aux services publics, au transport de marchandises ou à la santé, cette inscription peut aussi faciliter l’envoi de messages d’ingénierie sociale dans différents secteurs. La date de naissance, l’adresse, l’état d’avancement d’un dossier documentaire ou les informations de paiement ne doivent pas être communiqués lors d’appels téléphoniques. Même si certaines informations personnelles semblent déjà connues, les organismes légitimes ne devraient pas demander des informations d’identité complètes ou des instructions de paiement lors d’appels inattendus.

Pour les organisations, cette fiche montre que les coordonnées utilisées par les salariés dans leurs démarches documentaires personnelles et auprès de services de voyage peuvent également avoir des répercussions sur la sécurité de l’entreprise. Lorsque le nom, le numéro de téléphone, la date de naissance et l’adresse d’un salarié deviennent visibles sur un service externe, des attaquants peuvent préparer des messages imitant des procédures internes liées aux ressources humaines, aux visas, aux voyages, aux expéditions ou aux notes de frais. Les équipes de sécurité devraient évaluer ces incidents non seulement sous l’angle des fuites de mots de passe, mais aussi des risques liés à l’authentification et à l’ingénierie sociale.

À la suite de cette dernière correction, la fiche consacrée à la fuite de données de Rush My Passport a été limitée aux champs suivants : adresse e-mail, nom complet, date de naissance, adresse postale et numéro de téléphone. Cette délimitation est importante pour ne pas induire l’utilisateur en erreur : les numéros de passeport, les images de documents ou les données de cartes de paiement ne doivent pas être ajoutés à la fiche sans éléments explicites à l’appui. Pour les utilisateurs, la protection la plus adaptée consiste à vérifier, par un canal indépendant, les messages qui semblent provenir d’un service documentaire ou d’un transporteur, ou qui concernent un rendez-vous, une vérification d’adresse ou une demande de paiement, à activer l’authentification multifacteur sur leur compte de messagerie et à ne pas communiquer leurs identifiants par téléphone.

La correction apportée à cette fiche est particulièrement importante pour clarifier les noms des champs de données. Pour les utilisateurs, le risque ne tient pas à un champ documentaire plus spécifique, comme le numéro de passeport, mais à des informations d’identité et à des coordonnées qui donnent de la crédibilité au processus de demande et de livraison. Utilisés ensemble, le nom, la date de naissance, l’adresse, le numéro de téléphone et l’adresse e-mail peuvent rendre plus crédibles de faux messages concernant des rendez-vous pour des démarches documentaires, des confirmations de livraison ou la finalisation d’une demande. Les utilisateurs devraient donc vérifier manuellement le nom de domaine avant de cliquer sur un lien, éviter de confirmer des informations personnelles lors d’appels ou de messages entrants et renforcer la protection de l’accès à leur messagerie pour assurer la sécurité des comptes.

Cette page a été mise à jour afin que les utilisateurs recherchant des informations sur la fuite de données de Rush My Passport puissent comprendre, sans exagération, quelles données les concernant pourraient être à risque. Les catégories de données se limitent aux adresses e-mail, aux prénoms et noms, aux dates de naissance, aux adresses postales et aux numéros de téléphone. Le respect de ce périmètre permet de hiérarchiser correctement les alertes de sécurité : avant de changer leurs mots de passe, les utilisateurs devraient prêter attention à l’hameçonnage, aux fausses notifications de livraison, aux fraudes liées aux services documentaires et aux tentatives d’obtention d’informations par téléphone.