Liste de données utilisée pour le spam: SaverSpy

Les types de données observés dans cette fiche sont les adresses e-mail, les informations sur le genre, les noms et les adresses postales. Aucun champ de mot de passe n’a été trouvé; les risques concernent le marketing ciblé et la confidentialité des adresses postales. Les champs non vérifiés relatifs aux cartes de paiement, aux comptes bancaires, aux messages privés, aux dossiers médicaux ou à d’autres informations de profil n’ont pas été ajoutés à la liste des catégories de données. Seuls les champs étayés ont été conservés.

L’association d’une adresse e-mail Yahoo, d’un nom, d’un genre et d’une adresse postale peut servir à personnaliser des messages concernant des services locaux, des dettes, des campagnes ou des livraisons. À elle seule, une adresse e-mail présente un risque de réception de messages indésirables. Lorsqu’elle est associée à un numéro de téléphone, une adresse, une adresse IP, une date de naissance, un mot de passe, un document d’identité officiel, des échanges avec l’assistance, des informations sur un véhicule ou une adresse postale, il devient plus facile pour un attaquant de créer des messages adaptés à une personne en particulier. L’évaluation des risques a tenu compte de cet effet combiné.

Le périmètre vérifié comptait 2,45 millions d’adresses e-mail en septembre 2018. Les champs vérifiés ont été conservés, tandis que les champs non confirmés ont été exclus. Cet incident n’a pas été regroupé avec des jeux de données portant des noms similaires, des événements concernant la même entreprise à d’autres périodes ou des références sectorielles incorrectes.

Cette fiche ne correspond pas à la compromission d’un compte auprès d’une entreprise précise; les champs du domaine et du site web ont été laissés vides. Le nom de domaine, le nom de l’entreprise et les informations sectorielles ont été limités au contexte le plus précis que les éléments disponibles permettaient d’établir. En cas d’incertitude, l’indicateur de vérification ou le champ du site web a été renseigné en conséquence. Aucune responsabilité n’a ainsi été attribuée à une marque sans confirmation.

Les groupes à risque peuvent inclure les personnes dont l’adresse e-mail Yahoo figure dans des listes marketing et celles dont l’adresse postale a circulé. Si une correspondance est trouvée pour vos données, vous devriez également examiner les autres comptes sur lesquels vous utilisez la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou un mot de passe construit selon le même modèle, en dehors du service concerné.

Vous ne vous souvenez peut-être pas de vous être inscrit à un service nommé SaverSpy; vos données peuvent provenir de listes utilisées à des fins de marketing. Un contexte lié à une adresse e-mail professionnelle, un forum de jeux vidéo, une inscription comme client dans le secteur de la moto, une application de centre commercial, une demande d’assistance, un compte de location, une liste marketing ou un logiciel malveillant peut accroître le risque d’ingénierie sociale. Des détails qui semblent exacts ne constituent pas, à eux seuls, un gage de confiance.

Si vous êtes concerné, vérifiez par un canal indépendant les messages relatifs à des campagnes, des dettes, des livraisons ou des services locaux qui contiennent votre nom et votre adresse. Lorsque les enregistrements comportent un champ de mot de passe, changez ce mot de passe sur tous les comptes où vous le réutilisez. En l’absence de champ de mot de passe, concentrez-vous sur les risques liés aux e-mails, au téléphone, aux fausses notifications, à la confidentialité et au rapprochement de données permettant de vous identifier.

Au lieu de cliquer sur les liens du message, saisissez manuellement l’adresse du service concerné ou utilisez l’entrée enregistrée dans un gestionnaire de mots de passe fiable. Ne vous fiez pas aux messages concernant une facture, une alerte de compte, une récompense dans un jeu, l’assistance, une expédition, le service client, un rendez-vous de maintenance, un avis public ou un renouvellement d’abonnement sans les avoir vérifiés par un canal indépendant.

Limitez les autorisations accordées à des fins de marketing et la communication de votre adresse postale dans des formulaires qui n’en ont pas besoin. Envisagez également d’utiliser une adresse e-mail distincte. Faites régulièrement le tri dans vos anciens comptes, les champs de profil inutiles, les noms d’utilisateur en double ainsi que les anciens numéros de téléphone et adresses. Un mot de passe unique pour chaque service et la vérification en deux étapes, partout où elle est disponible, devraient être la règle de base.

Pour les prestataires de services, la minimisation des données, une protection robuste des mots de passe, la surveillance des journaux d’accès, la suppression des champs inutiles et des procédures de notification des utilisateurs prêtes à être mises en œuvre sont nécessaires. Dans les organisations qui détiennent des données marketing, les champs tels que l’adresse et le genre doivent être protégés au même titre que l’adresse e-mail. Décrire précisément le périmètre fait également partie du travail de sécurité; des informations exagérées ou incomplètes peuvent conduire les utilisateurs à prendre des mesures inadaptées.

Commencez par rechercher une correspondance avec votre adresse e-mail dans cette fiche. Si une correspondance est trouvée, considérez que votre nom, votre genre et votre adresse postale peuvent être utilisés dans des messages ciblés. L’absence de correspondance n’exclut pas totalement l’utilisation d’une autre adresse e-mail ou la réutilisation d’un ancien mot de passe; examinez également vos comptes les plus importants.

Cette fiche a été vérifiée et son indicateur de sensibilité a été conservé; elle n’a pas été présentée comme une compromission touchant un site web unique. Dans le cadre de cette révision, les champs de données ont conservé leurs catégories canoniques en anglais, la description visible par les utilisateurs a été rédigée en turc avec un texte original, aucun champ non vérifié n’a été ajouté et l’indicateur de sensibilité n’a été utilisé que lorsque le contexte de risque le justifiait.