Fuite de données de Spidermetrix en 2017

L’examen de l’ensemble des éléments visibles dans la fiche Spidermetrix montre que le risque ne tient pas à un seul type de données. Lorsque des noms d’utilisateur, des adresses e-mail et des données de mots de passe sont réunis dans un même profil utilisateur, les attaquants peuvent élaborer des messages plus personnalisés et plus convaincants. Les identifiants de contact, de compte ou de profil vérifiés dans la fiche augmentent le risque d’ingénierie sociale et de rapprochement de profils. Des informations supplémentaires sur les comptes peuvent faciliter la création de faux messages donnant l’impression de s’inscrire dans le fonctionnement normal d’un service légitime.

Les principaux risques mis en évidence dans cet incident sont l’hameçonnage, la prise de contrôle de comptes et les scénarios d’ingénierie sociale. Les attaquants peuvent combiner les champs de la fiche pour préparer de fausses alertes de compte, des réinitialisations de mot de passe, des renouvellements d’adhésion, des notifications d’assistance ou des messages de vérification de sécurité. L’utilisation, dans le message, de véritables informations de compte issues de la fiche peut affaiblir les réflexes de sécurité de l’utilisateur. Ainsi, même si la fiche ne contient pas de mot de passe, le risque de rapprochement de profils et de fraude ciblée subsiste. Si elle comporte un champ de mot de passe, le risque augmente encore, car le même mot de passe, ou un mot de passe similaire, pourrait être essayé sur d’autres services.

Pour les utilisateurs de Spidermetrix, la première étape consiste à rapprocher les champs de cette fiche de leurs propres habitudes d’utilisation des comptes. Si les mêmes informations vérifiées de compte ou de contact ont été utilisées sur d’autres services, les messages reçus doivent être évalués en tenant compte de l’ensemble de l’identité numérique. Si le même nom d’utilisateur est également utilisé sur des réseaux sociaux, des jeux, des forums ou des comptes liés à l’éducation, aux voyages ou aux achats, le risque de rapprochement de profils augmente. Les utilisateurs ne doivent pas cliquer directement sur des liens inattendus. Ils doivent vérifier les opérations sur leurs comptes en passant par les domaines qu’ils connaissent, adopter un mot de passe unique pour chaque compte où un même mot de passe est réutilisé et activer l’authentification multifacteur partout où cela est possible. Pour les fiches contenant des mots de passe, il convient aussi de revoir la manière dont les anciens mots de passe ont été construits : mieux vaut choisir des mots de passe longs et entièrement uniques que se contenter de modifier quelques caractères.

Du point de vue des organisations, une fiche Spidermetrix permet de comprendre dans quel contexte de données les adresses e-mail ou les comptes personnels des employés apparaissent sur des services externes. Si un employé a utilisé son adresse e-mail professionnelle sur de tels services, les attaquants peuvent reprendre ces informations dans de fausses demandes d’assistance, notifications de facture ou vérifications de compte, ou dans des messages imitant les échanges internes. Les équipes de sécurité doivent surveiller non seulement les fuites contenant des mots de passe, mais aussi les champs vérifiés dans la fiche qui concernent l’identité, les comptes, les coordonnées et le contexte d’utilisation, en raison du risque d’ingénierie sociale.

La fiche relative à la fuite de données de Spidermetrix se limite donc aux champs étayés, mais ses conséquences potentielles pour la sécurité méritent une attention particulière. Pour les utilisateurs, l’approche la plus appropriée consiste à vérifier les liens reçus par un canal indépendant, à mettre à jour les options de récupération des comptes, à contrôler les autres comptes où les mêmes informations sont utilisées et à ne pas approuver dans la précipitation des demandes inattendues de vérification ou de paiement. Cette page a été mise à jour afin qu’un utilisateur recherchant des informations sur la fuite de données de Spidermetrix puisse comprendre, sans exagération, le nombre d’enregistrements, les champs de données concernés et les mesures de protection prioritaires.

Ce dernier contrôle de la fiche Spidermetrix vise à garantir que la liste des champs de données reste cohérente avec la description présentée à l’utilisateur. La personne qui effectue la recherche ne doit voir sur cette page que les types de données étayés; aucune allégation supplémentaire concernant d’autres champs ne doit être ajoutée dans le seul but de faire paraître le risque plus important. Cette approche aide les particuliers à choisir la mesure de sécurité adaptée et les organisations à distinguer les données de leurs employés qui pourraient réellement être à risque. Les catégories de données actuellement couvertes se limitent aux champs suivants : noms d’utilisateur, adresses e-mail, mots de passe.