Fuite de données chez ShopBack

L’incident chez ShopBack a exposé des adresses e-mail, des données sur le pays ou la localisation géographique, des noms, des numéros de téléphone et des empreintes de hachage de mots de passe. Une enquête menée par l’autorité de contrôle a également confirmé qu’à Singapour, les données exposées comprenaient environ 300 000 numéros de compte bancaire et des données partielles de carte de crédit concernant environ 380 000 personnes. Les mots de passe étaient stockés sous forme d’empreintes SHA-1 avec salage, et non en clair. Le salage ralentit les attaques, mais SHA-1 ne suffit pas à sécuriser les mots de passe faibles. Les adresses e-mail, les noms, les numéros de téléphone et les données sur le pays peuvent servir à personnaliser de faux messages de remboursement, de retrait de cashback ou de vérification de compte. Les informations bancaires et les données partielles de carte ne suffisent pas à effectuer directement une transaction, mais peuvent aider un escroc à gagner la confiance de sa cible. Les numéros complets de carte, les codes de sécurité, les soldes de cashback, les dates de naissance, les genres et les historiques d’achat détaillés ne font pas partie des catégories de données structurées dont l’exposition est confirmée. L’exposition des données financières a été confirmée dans le cadre de l’enquête régionale : il ne faut pas supposer que ces données figurent dans chaque enregistrement à l’échelle mondiale.

L’incident a commencé lorsqu’une clé d’accès au cloud disposant de tous les privilèges a été enregistrée par erreur dans un dépôt privé de code source en juin 2019. Elle a été supprimée du fichier visible, mais est restée dans l’historique des modifications et n’a pas été entièrement désactivée lors de la rotation des clés. Environ 15 mois plus tard, le 9 septembre 2020, un attaquant l’a utilisée pour accéder à l’environnement cloud, modifier les paramètres de sécurité et extraire des enregistrements clients. ShopBack a détecté cet accès lors d’un contrôle de routine le 17 septembre; cette date reste la date de référence de la fuite, tandis que le 9 septembre est consigné comme date de l’attaque. L’entreprise a supprimé la clé, renouvelé les accès et imposé à tous les clients une déconnexion et une réinitialisation de leur mot de passe. La base de données a été proposée à la vente le 12 novembre 2020. Le chiffre de 20 529 819 correspond au nombre d’adresses e-mail uniques à l’échelle mondiale; le chiffre de plus de 1,4 million établi par l’autorité de contrôle concerne Singapour et ne doit pas y être ajouté. Cette distinction évite de gonfler le nombre total d’enregistrements mondiaux en y ajoutant les décomptes régionaux.

Les personnes qui ont créé un compte ShopBack avant 2020 et fourni une adresse e-mail, un numéro de téléphone ou un pays constituent le principal groupe à risque. Toute personne ayant réutilisé son mot de passe ShopBack pour sa messagerie ou pour des services d’achat, de voyage ou financiers court un risque accru de prise de contrôle de ses comptes. L’examen mené à Singapour a relevé environ 1,4 million d’adresses e-mail, 840 000 noms, 450 000 numéros de téléphone mobile, 300 000 comptes bancaires et 380 000 enregistrements contenant des données partielles de carte; il ne faut pas supposer que tous ces champs étaient renseignés pour chaque personne. Une adresse e-mail, un numéro de téléphone et l’utilisation d’un service de cashback peuvent servir à créer de faux messages concernant un solde, un retrait, un remboursement ou une promotion. Des informations financières partielles peuvent rendre crédibles des appels usurpant l’identité d’une banque ou d’un émetteur de carte. Cesser d’utiliser le compte ne supprime pas le risque, car les coordonnées et les mots de passe réutilisés peuvent rester valides pendant des années. Les enregistrements sont plus ou moins complets : une correspondance avec une adresse e-mail ne prouve donc pas, à elle seule, que tous les champs mentionnés ont été exposés pour cette personne.

Si vous n’avez pas changé votre mot de passe ShopBack depuis 2020, remplacez-le dès maintenant par un mot de passe long et unique. Modifiez les identifiants de connexion similaires sur vos autres comptes, en commençant par votre messagerie principale, vos services d’achat et vos services financiers. Lancez la réinitialisation depuis l’application ou une adresse officielle que vous saisissez vous-même, plutôt que depuis un lien reçu dans un message inattendu. Fermez les sessions actives, vérifiez l’adresse e-mail et le numéro de téléphone de récupération, et activez l’authentification multifacteur lorsqu’elle est disponible. Les clients ayant fourni des informations bancaires ou de carte doivent surveiller l’activité de leurs comptes et les alertes, et contacter leur établissement financier par son canal officiel si une transaction inconnue apparaît. Ne communiquez jamais de mot de passe, de code à usage unique, de numéro complet de carte ou de code de sécurité en réponse à un message prétendant concerner une opération de cashback, de retrait, de remboursement ou de promotion.

Un gestionnaire de mots de passe qui génère un mot de passe différent pour chaque service empêche qu’une ancienne empreinte de hachage permette d’accéder à d’autres comptes. Comme votre messagerie permet de récupérer l’accès à vos services financiers et d’achat, protégez-la avec votre mot de passe le plus robuste et un second facteur résistant aux attaques, comme une application d’authentification ou une clé de sécurité. Activez les notifications de vos comptes bancaires et de vos cartes, examinez même les petits débits de test et vérifiez régulièrement vos informations de récupération. Fermez les comptes d’achat que vous n’utilisez plus et évitez de conserver votre numéro de téléphone, votre localisation ou vos informations de paiement lorsque ces données sont facultatives. La surveillance des fuites de données, l’examen des sessions et la vigilance face à l’hameçonnage assurent une protection durable. Prenez les messages ciblés au sérieux, même des années plus tard, car les jeux de données volés peuvent être copiés, revendus et combinés avec des informations plus récentes.

Vérifiez votre adresse e-mail avec LeakData pour savoir si elle figure dans la fuite de ShopBack ou dans une autre fuite vérifiée. Une correspondance indique que l’adresse fait partie des 20 529 819 adresses e-mail uniques du décompte de référence; elle ne prouve pas que vous apparteniez au sous-ensemble d’environ 1,4 million de personnes à Singapour, ni que les données bancaires et les données partielles de carte vous concernent. Consultez la date et les catégories de données, déterminez sur quels autres services vous avez réutilisé votre mot de passe de 2020 et commencez par les comptes qui donnent accès à votre messagerie et à votre argent. Ne saisissez jamais de mot de passe, de numéro de compte bancaire ou d’informations de carte dans le champ de recherche; une adresse e-mail suffit. Une surveillance continue peut signaler des données publiées ou remises en circulation ultérieurement. Continuez à utiliser des mots de passe uniques, l’authentification multifacteur et les alertes de transaction, même lorsqu’aucune correspondance n’est trouvée.