Fuite de données de Scam.com en 2016

L’examen conjoint des champs visibles dans la fiche Scam.com montre que le risque ne tient pas à un seul type de données. Lorsque des noms d’utilisateur, des adresses e-mail, des informations relatives aux empreintes de mots de passe, des sels de mots de passe et des données de mots de passe figurent dans un même profil utilisateur, les attaquants peuvent préparer des messages plus personnalisés et plus convaincants. Les identifiants de contact, de compte ou de profil vérifiés dans la fiche augmentent le risque d’ingénierie sociale et de rapprochement entre profils. Les informations contextuelles supplémentaires sur les comptes peuvent donner l’impression que de faux messages s’inscrivent dans le fonctionnement normal d’un service légitime.

Les principaux risques mis en évidence dans cet incident sont l’hameçonnage, la prise de contrôle de comptes et l’ingénierie sociale. Les attaquants peuvent combiner les champs présents dans les enregistrements pour préparer de fausses alertes de compte, des messages de réinitialisation de mot de passe, de renouvellement d’adhésion, des notifications d’assistance ou des demandes de vérification de sécurité. L’utilisation de détails de compte effectivement présents dans les enregistrements peut affaiblir la vigilance des utilisateurs. Ainsi, même lorsqu’un enregistrement ne contient pas de mot de passe, le risque de rapprochement entre profils et de fraude ciblée persiste. Si un champ de mot de passe est présent, le risque augmente encore, car le même mot de passe, ou un mot de passe similaire, peut être essayé sur d’autres services.

Pour les utilisateurs de Scam.com, la première étape consiste à comparer les champs répertoriés dans cette fiche avec leurs propres habitudes d’utilisation de leurs comptes. Si les mêmes informations de compte ou de contact vérifiées ont été utilisées sur d’autres services, les messages reçus doivent être évalués en tenant compte de l’ensemble de l’identité numérique. Si le même nom d’utilisateur est également utilisé sur des comptes de réseaux sociaux, de jeux, de forums, de services éducatifs, de voyages ou d’achats, le risque de rapprochement entre profils augmente. Les utilisateurs ne doivent pas cliquer directement sur des liens inattendus. Ils doivent vérifier les opérations liées à leurs comptes en passant par des noms de domaine connus, adopter des mots de passe uniques pour les comptes sur lesquels un même mot de passe est réutilisé et activer l’authentification multifacteur lorsque cela est possible. Pour les enregistrements contenant des informations relatives aux empreintes de mots de passe, les anciens schémas de création de mots de passe doivent également être réexaminés : plutôt que de modifier quelques caractères, il convient de privilégier des mots de passe longs et entièrement uniques.

Pour les organisations, la fiche Scam.com est importante pour comprendre dans quel contexte les adresses e-mail ou les comptes personnels de leurs employés apparaissent sur des services externes. Si un employé a utilisé son adresse e-mail professionnelle sur de tels services, les attaquants peuvent exploiter ces mêmes informations dans de fausses demandes d’assistance, des notifications de facturation, des vérifications de compte ou des messages imitant les communications internes. Les équipes de sécurité doivent surveiller non seulement les fuites contenant des mots de passe, mais aussi les champs d’identité, de compte, de contact et de contexte d’utilisation vérifiés dans la fiche, car ils présentent un risque d’ingénierie sociale.

La fiche relative à la fuite de données de Scam.com se limite donc aux champs documentés, mais ses implications en matière de sécurité méritent une attention particulière. Pour les utilisateurs, l’approche la plus appropriée consiste à vérifier les liens reçus par un canal indépendant, à mettre à jour les options de récupération de compte, à contrôler les autres comptes utilisant les mêmes informations et à ne pas approuver précipitamment des demandes inattendues de vérification ou de paiement. Cette page a été mise à jour pour permettre aux utilisateurs qui recherchent des informations sur la fuite de données de Scam.com de comprendre, sans exagération, le nombre d’enregistrements, les champs de données concernés et les mesures de protection prioritaires.

Cette dernière vérification de la fiche Scam.com vise à garantir que la liste des champs de données reste cohérente avec la description visible par les utilisateurs. Les personnes effectuant une recherche ne doivent voir sur cette page que les types de données étayés. Aucune affirmation supplémentaire allant au-delà des champs documentés ne doit être ajoutée dans le seul but de donner l’impression d’un risque plus élevé. Cette approche aide les particuliers à choisir la mesure de sécurité appropriée et les organisations à déterminer quelles données de leurs employés pourraient réellement être à risque. Le périmètre actuel des catégories de données se limite aux champs suivants : noms d’utilisateur, adresses e-mail, métadonnées des empreintes de mots de passe, sels de mots de passe, mots de passe.