Exposition présumée de données chez SelectSmart

Dans cette fiche, les champs de données étayés se limitent aux adresses e-mail et aux informations relatives aux mots de passe. Une adresse e-mail peut être utilisée pour envoyer des messages d’hameçonnage ciblés ou tenter de fausses réinitialisations de mot de passe. Le risque augmente lorsque des informations sur le mot de passe ou son empreinte de hachage sont associées à l’adresse e-mail ou au nom d’utilisateur : des attaquants peuvent essayer le même mot de passe, ou un mot de passe similaire, sur d’autres services. Dans les incidents passés comme celui de SelectSmart, le principal risque tient au fait que l’utilisateur continue d’employer son ancien mot de passe sur différents comptes.

• L’adresse e-mail du compte SelectSmart peut être ciblée par de fausses notifications et de faux messages d’assistance.
• Si les mots de passe concernés ont été réutilisés sur d’autres comptes, il existe un risque de prise de contrôle de ces comptes.
• L’association d’une adresse e-mail et d’un mot de passe crée un risque sérieux pour la sécurité, même en l’absence de données de paiement.
• D’anciens jeux de données pouvant être intégrés à différentes listes, le risque ne peut pas être considéré comme entièrement disparu avec le temps.

Les éléments vérifiables pour SelectSmart comprennent le domaine selectsmart.com, la période d’avril 2021, les 53 649 comptes et adresses e-mail, ainsi que la catégorie des informations relatives aux mots de passe. Bien que ces éléments concordent avec les signalements figurant dans les inventaires publics de fuites de données, la fiche n’a pas obtenu le statut « vérifié », en l’absence de rapport d’incident interne, de notification officielle ou d’annonce d’une autorité de régulation. Cette distinction indique que l’incident mérite l’attention des utilisateurs, mais que tous les détails techniques n’ont pas été établis de manière définitive.

La description a donc été limitée aux champs étayés. Des champs tels que le numéro de téléphone, l’adresse postale, la carte de paiement, le numéro d’une pièce d’identité officielle, les messages privés, l’historique des commandes, la clé de licence, l’historique des contenus ou l’historique des devis n’ont pas été ajoutés sans être étayés par la fiche disponible. Le format technique de stockage des informations relatives aux mots de passe ne pouvant pas être vérifié avec la même précision dans tous les cas, les utilisateurs doivent adopter une approche prudente : le même mot de passe ne doit être utilisé nulle part ailleurs.

Le principal groupe à risque est constitué des utilisateurs ayant créé un compte sur SelectSmart pour des quiz, des sondages, une inscription ou des contenus. Les personnes qui utilisent la même adresse e-mail depuis longtemps, qui n’ont pas fermé leurs anciens comptes, qui n’utilisent pas de gestionnaire de mots de passe ou qui réutilisent le même mot de passe sur différents services sont également plus exposées. Même si le compte SelectSmart n’est plus utilisé, la combinaison de l’adresse e-mail et du mot de passe peut être testée sur d’autres services.

• Les utilisateurs qui ouvrent plusieurs comptes avec la même adresse e-mail
• Les personnes qui ont continué à utiliser sur d’autres services des mots de passe datant de la période d’avril 2021
• Les utilisateurs qui reçoivent des liens de réinitialisation de mot de passe sur leur compte de messagerie
• Les personnes qui ne vérifient pas régulièrement leurs anciens comptes et ne surveillent pas la réutilisation de leurs mots de passe

Si vous possédez un compte associé à SelectSmart ou à selectsmart.com, commencez par identifier le mot de passe qui a pu être utilisé pour ce compte, puis modifiez-le sur tous les services où il est réutilisé. Donnez la priorité aux comptes de messagerie, aux services bancaires et de paiement, aux réseaux sociaux, au stockage dans le cloud, aux comptes professionnels et aux comptes d’achat en ligne. De petites modifications ou des variantes similaires ne sont pas considérées comme sûres : utilisez un mot de passe long et unique pour chaque service.

• Définissez un mot de passe unique et robuste pour votre compte de messagerie.
• Activez l’authentification multifacteur sur tous les comptes qui le permettent.
• Si vous avez utilisé l’ancien mot de passe associé à SelectSmart sur d’autres services, modifiez-le sur chacun d’eux.
• Examinez attentivement les alertes de connexion inattendues, les messages de réinitialisation de mot de passe et les faux messages d’assistance.

Pour vous protéger durablement, il est nécessaire d’utiliser un gestionnaire de mots de passe, de générer un mot de passe unique pour chaque compte, de séparer les adresses e-mail selon leur usage et de passer régulièrement en revue vos anciens comptes. Les forums, les comptes de commerce en ligne, les services de médias, les tableaux de bord informatiques, les plateformes événementielles et les communautés de logiciels peuvent présenter un intérêt pour les attaquants, même lorsqu’ils ont été oubliés. Les anciennes habitudes en matière de mots de passe peuvent en effet être exploitées pour tenter d’accéder à de nouveaux comptes.

Pour un compte SelectSmart, l’approche recommandée consiste à fermer les comptes inutilisés, à consulter l’historique des sessions, à cesser de réutiliser les mots de passe et à trier avec soin les messages suspects reçus à la même adresse e-mail. Pour les utilisateurs en entreprise, il est également important de veiller à ce que les employés n’utilisent pas leurs anciens mots de passe personnels sur les systèmes professionnels. Les politiques empêchant la réutilisation des mots de passe, l’authentification multifacteur et les procédures de surveillance des fuites de données réduisent l’impact de ce risque.

Si la consultation de la fiche SelectSmart sur LeakData.io fait apparaître des résultats vous concernant, déterminez quelle adresse e-mail est touchée, quels comptes ont été ouverts avec cette adresse et quels mots de passe ont été réutilisés par le passé. Même si la fiche n’a pas le statut « vérifié », la présence conjointe de l’adresse e-mail et d’informations relatives au mot de passe constitue une raison suffisante pour prendre des mesures de sécurité. La meilleure démarche consiste à abandonner définitivement le mot de passe à risque et à mettre à jour les comptes critiques le jour même.

Le périmètre pourra être réévalué si une nouvelle notification officielle, un document d’une autorité de régulation ou un article de presse indépendant fiable concernant la fuite de données SelectSmart apparaît. D’ici là, cette fiche reste un avertissement classé avec prudence, destiné à inciter les utilisateurs à vérifier leurs anciens comptes et les mots de passe réutilisés en lien avec selectsmart.com. L’objectif est de rendre le risque réel visible sans exagérer les aspects non confirmés, et de préciser les mesures de sécurité concrètes à prendre.