Fuite de données chez Shadow

Les types de données répertoriés pour cet incident sont les suivants : dates de naissance, adresses e-mail, noms et adresses postales. Une adresse postale et une date de naissance, associées à une adresse e-mail, permettent de constituer un profil détaillé pouvant servir à des tentatives d’hameçonnage ciblé et à des abus des procédures de récupération de compte. La présence simultanée de ces champs peut présenter un risque plus élevé qu’une fuite d’adresses e-mail seules : les attaquants peuvent combiner des informations sur les communications, l’identité, la localisation, les achats ou les accès aux comptes d’une même personne afin de préparer des tentatives d’hameçonnage plus convaincantes.

Aucun champ de mot de passe n’est répertorié dans cette fiche. Toutefois, des informations personnelles permanentes, comme la date de naissance et l’adresse, présentent un risque à long terme, indépendamment du mot de passe. Les utilisateurs doivent notamment se méfier des tentatives de fraude qui rapprochent les mots de passe, les numéros de téléphone et les adresses utilisés sur différents services avec une même adresse e-mail. Même si la fuite ne contient pas de mot de passe, des champs tels que l’adresse e-mail, le numéro de téléphone, le nom complet ou l’adresse postale peuvent être exploités à des fins de publicité ciblée, d’ingénierie sociale, de fausses notifications et d’abus des procédures de récupération de compte.

Cette fiche couvre environ 543 000 enregistrements clients associés au domaine Shadow et à son service de jeu vidéo dans le cloud. Nous la limitons donc aux champs de données disponibles, sans lui donner la portée d’une déclaration définitive de l’entreprise. L’incident relève de la catégorie des fiches vérifiées. Les limites de ce périmètre sont importantes : il ne s’agit pas d’alarmer inutilement l’utilisateur au sujet de types de données non répertoriés, mais il ne faut pas non plus sous-estimer l’effet combiné des champs mentionnés.

Les informations relatives aux cartes de paiement, aux contenus en jeu ou aux accès aux appareils ne figurent pas dans la description, car elles ne sont pas répertoriées dans cette fiche. Lorsque des références pouvaient être en double ou erronées, le titre, le nom de domaine, le pays et le secteur d’activité ont été vérifiés séparément. Les plateformes portant des noms similaires ou les différents services opérant dans le même secteur n’ont pas été regroupés dans cette fiche comme s’il s’agissait d’un seul incident.

Les clients de Shadow, les utilisateurs qui conservent leur adresse de facturation dans leur compte et les personnes qui utilisent la même adresse e-mail pour des jeux, des services cloud ou des comptes de paiement sont exposés à un risque. Pour ces personnes, le principal risque tient au fait que les champs divulgués peuvent être reliés à la sécurité de leurs comptes au quotidien. Si un utilisateur emploie la même adresse e-mail sur différents services d’achat, de jeu, communautaires, de rencontres, professionnels ou financiers, les attaquants peuvent utiliser ces informations pour préparer des messages qui semblent provenir du véritable service.

Dans le contexte des services d’informatique en nuage, les messages évoquant de fausses factures, des renouvellements d’abonnement, des problèmes de paiement ou une suspension de compte peuvent paraître plus convaincants. Les adresses e-mail utilisant le domaine d’une entreprise peuvent également être exploitées pour cibler des comptes professionnels. Pour les particuliers, des champs tels que le numéro de téléphone, l’adresse, la date de naissance, la photo de profil ou les informations sur les achats ou les appareils peuvent entraîner des conséquences telles qu’une prise de contrôle de compte, de l’hameçonnage, du harcèlement, un suivi non autorisé ou un risque pour la réputation.

Les utilisateurs concernés doivent vérifier les paramètres de sécurité de leur compte Shadow, ainsi que les informations de paiement et de session qui y sont associées. Ils doivent se méfier des faux messages relatifs à des abonnements envoyés à cette même adresse e-mail. Lorsque des mots de passe ou des champs assimilés sont répertoriés pour un compte, les utilisateurs doivent modifier les mots de passe de tous les comptes sur lesquels ils utilisent des mots de passe identiques ou similaires, choisir des mots de passe robustes et uniques et activer l’authentification multifacteur partout où cela est possible. Lorsqu’aucun mot de passe n’est répertorié pour un compte, les codes de vérification, liens et pièces jointes inattendus reçus par e-mail ou par téléphone doivent être examinés avec davantage de prudence.

Lorsque les fiches contiennent une adresse, une date de naissance, des données d’identification officielles, une photo de profil ou des informations de localisation, les utilisateurs doivent mettre à jour les questions de vérification d’identité, examiner les options de récupération de compte et surveiller l’apparition de faux profils usurpant leur identité. Les utilisateurs professionnels doivent indiquer à l’équipe de sécurité si ces champs sont utilisés pour cibler des employés.

Pour les services cloud, il est important de vérifier régulièrement l’adresse de facturation, l’historique des sessions et les moyens de paiement associés, et de résilier les abonnements inutilisés. À long terme, un mot de passe unique pour chaque compte, un gestionnaire de mots de passe, l’authentification multifacteur, une surveillance régulière des sessions et la fermeture des anciens comptes constituent les bases de la sécurité. Le fait qu’une adresse e-mail ait déjà été impliquée dans différents incidents indique une accumulation de risques qui ne se limite pas à une seule fiche.

Après de tels incidents, modifier uniquement le mot de passe de la plateforme concernée peut ne pas suffire. Si le même numéro de téléphone, la même adresse de livraison, le même nom d’utilisateur ou la même adresse e-mail de récupération sont également utilisés sur d’autres services, les attaquants peuvent tenter d’accéder à différents comptes en s’appuyant sur ces points communs. Dresser un inventaire des comptes et supprimer les anciennes inscriptions constitue donc une protection durable.

Si un utilisateur repère une correspondance avec cet incident, il ne doit pas se concentrer uniquement sur la modification de son mot de passe. Il doit également vérifier si des informations permanentes, comme son adresse et sa date de naissance, sont utilisées dans les questions d’authentification. Cette fiche a été préparée pour montrer directement à l’utilisateur les éléments exposés à un risque. Si une correspondance est constatée, la première démarche n’est pas de paniquer, mais d’utiliser des mots de passe distincts, de se déconnecter des sessions, d’examiner les notifications de sécurité et de rechercher d’éventuelles connexions suspectes.

Évaluation finale : bien que cette fiche ne contienne pas de mot de passe, la combinaison de la date de naissance et de l’adresse postale présente un risque lié à des données personnelles sensibles. L’utilisateur doit comparer la liste des champs de cette page à l’historique de ses comptes et agir immédiatement sur les services où la même combinaison d’adresse e-mail et de mot de passe a été réutilisée. Après l’incident, les messages suspects, les appels inattendus et les notifications de récupération de compte doivent faire l’objet d’une attention prioritaire.