Fuite de données chez Straffic

Les champs de données vérifiés sont les adresses e-mail, les informations sur le genre, les noms, les numéros de téléphone et les adresses postales. Un nom associé à une adresse e-mail suffit à créer des messages qui semblent ciblés et personnalisés. Lorsqu’un numéro de téléphone s’y ajoute, le risque ne se limite plus aux e-mails; il s’étend à des canaux tels que les SMS, les appels automatisés, les échanges avec de faux conseillers clientèle et les notifications de livraison. Une adresse postale peut être utilisée dans de fausses factures, des abonnements frauduleux, des offres de services locaux ou des tentatives de tromperie fondées sur la localisation.

Une information sur le genre peut, à elle seule, sembler peu sensible; toutefois, associée à un nom, une adresse e-mail, un numéro de téléphone et une adresse postale, elle permet d’enrichir un profil. Des attaquants peuvent combiner ces champs pour créer des messages plus convaincants concernant le quartier de résidence d’une personne, ses habitudes de communication et ses centres d’intérêt possibles. Dans cet incident, les catégories de données confirmées n’incluent pas les mots de passe, les cartes de paiement, les comptes bancaires ni les numéros d’identification officiels. Cette distinction est importante : la présentation du risque ne doit pas évoquer un scénario de compromission de compte par son mot de passe, mais se concentrer sur les risques de fraude et d’atteinte à la vie privée liés aux coordonnées et aux adresses.

Le nombre de comptes vérifiés dans le cadre de la fuite sTraffic correspond à 48 580 249 adresses e-mail uniques. La date enregistrée pour l’incident est le 14 février 2020, et la date d’ajout vérifiée est le 27 février 2020. L’incident est lié à l’accessibilité de fiches de coordonnées présentes dans un volumineux référentiel de données interrogeable. Le volume de données signalé est de l’ordre de 140 GB, et le nombre total de lignes peut être supérieur au nombre d’adresses e-mail uniques; toutefois, lors des recherches visant à vérifier la sécurité des utilisateurs, l’identification de base des personnes doit s’appuyer sur le nombre d’adresses e-mail uniques.

Les champs de données vérifiés se limitent aux adresses e-mail, aux informations sur le genre, aux noms, aux numéros de téléphone et aux adresses postales. Tous les champs ne sont pas nécessairement renseignés pour chaque personne; dans les jeux de données marketing, certaines personnes peuvent n’avoir qu’une adresse e-mail, tandis que d’autres peuvent également avoir un numéro de téléphone ou une adresse postale. Les champs tels que les mots de passe, les comptes financiers, les cartes de paiement, les données de santé ou les identifiants délivrés par les autorités ne relèvent pas du périmètre vérifié de cette fuite. Il convient donc de conseiller aux utilisateurs de vérifier leurs canaux de communication, la visibilité de leur adresse et les risques d’ingénierie sociale, plutôt que de susciter une inquiétude financière inutile.

Les personnes les plus exposées sont celles qui utilisent la même adresse e-mail et le même numéro de téléphone depuis de nombreuses années. Les données marketing pouvant être recoupées avec différentes listes au fil du temps, une ancienne fiche de coordonnées peut être réutilisée dans des messages frauduleux actuels. Le risque est encore plus élevé pour les personnes dont l’adresse e-mail est professionnelle; associée à un nom, un numéro de téléphone et une adresse postale, elle peut servir à des attaques d’apparence professionnelle, comme celles reposant sur un faux fournisseur, une fausse offre, une fausse facture ou une invitation à une réunion.

Les personnes dont le numéro de téléphone et l’adresse postale figurent dans le jeu de données doivent également se méfier des fraudes par SMS, des fausses notifications d’expédition, des fausses alertes d’abonnement et des appels proposant des services locaux. Il a été signalé que des fiches de coordonnées liées à l’Europe et à l’Amérique étaient incluses; des utilisateurs de différentes régions peuvent donc faire face à des risques similaires. Même les utilisateurs qui n’ont jamais entendu parler de Straffic peuvent être concernés, car leurs données ont pu être collectées ou transférées par l’intermédiaire du réseau de commercialisation de données. Les notifications provenant d’entreprises inconnues ne doivent donc pas être automatiquement considérées comme fausses, mais doivent être examinées avec attention.

Si une correspondance avec Straffic est détectée, la première mesure consiste à prendre l’habitude de vérifier plus rigoureusement les messages suspects reçus par e-mail et par téléphone. Ne cliquez pas directement sur les liens de messages se présentant comme provenant d’une banque, d’un transporteur, d’un service d’abonnement, d’un service public, ou concernant une offre d’emploi ou un service local. Si votre interlocuteur vous demande des informations personnelles, un code à usage unique, des données de carte de paiement ou un accès à distance, mettez fin à l’appel et effectuez de préférence la vérification par le canal de communication officiel de l’organisme. Les messages qui mentionnent votre adresse postale peuvent paraître plus convaincants; le simple fait de connaître votre adresse ne doit donc pas être considéré comme un gage de sécurité.

Les mots de passe ne font pas partie des champs vérifiés pour cette fuite; néanmoins, les personnes qui utilisent dans leurs mots de passe des éléments faciles à deviner, comme leur adresse, leur lieu de naissance, leur quartier, le nom de leur rue ou leur numéro de téléphone, devraient les modifier. Vérifiez dans votre compte de messagerie la présence de règles de transfert ou d’adresses de récupération inconnues, ainsi que l’historique des sessions. Si vous recevez trop de messages indésirables sur votre numéro de téléphone, vous pouvez activer les options de blocage de votre opérateur, les filtres antispam et les alertes signalant les appels provenant de sources fiables. Il convient également de limiter les profils publics et les anciennes annonces contenant votre adresse.

L’objectif à long terme est de rendre plus difficile l’utilisation d’une seule fuite de données pour joindre une personne par différents canaux. Sur les formulaires d’inscription, ne fournissez votre véritable numéro de téléphone et votre adresse e-mail principale que lorsque cela est obligatoire. Vous pouvez privilégier des alias e-mail distincts pour les newsletters, les campagnes, les tirages au sort et les services utilisés ponctuellement. Ne renseignez pas votre numéro de téléphone dans les champs où il n’est pas nécessaire et ne communiquez votre adresse postale que si elle est nécessaire à une livraison ou au respect d’obligations légales. Cette approche réduit les risques en cascade liés aux listes marketing.

Du côté des entreprises, la présence des adresses e-mail professionnelles des salariés sur des listes marketing tierces doit faire l’objet d’une surveillance régulière. Les équipes de sécurité doivent prêter attention non seulement aux fuites de mots de passe, mais aussi à l’exposition de données personnelles, notamment les numéros de téléphone et les adresses. Les fraudes à la fausse facture ou au faux fournisseur reposent souvent sur l’identité et les coordonnées exactes d’une personne, sans nécessiter de mot de passe. La sécurité de la messagerie, les procédures de vérification téléphonique, la sensibilisation des salariés et la minimisation des données doivent donc être traitées ensemble.

Vous pouvez vérifier votre adresse e-mail sur LeakData pour savoir si elle correspond à un enregistrement de la fuite Straffic. En cas de correspondance, cela signifie que votre adresse e-mail figure dans ce jeu de données; il ne serait pas exact d’en tirer une conclusion certaine pour chacun des autres champs, notamment le numéro de téléphone ou l’adresse postale. Une correspondance indique néanmoins que vos coordonnées ont pu se trouver dans un jeu de données issu du marketing. Vous devez donc examiner avec davantage d’attention les messages suspects qui utilisent votre adresse e-mail, votre numéro de téléphone ou votre adresse postale.

La fuite Straffic ne doit pas être présentée comme une fuite de mots de passe ou de données de cartes de paiement; l’analyse des risques doit se fonder sur les coordonnées et les données de profil vérifiées. Les mesures les plus adaptées à cet incident consistent à repérer les fausses demandes utilisant votre adresse e-mail, votre numéro de téléphone et votre adresse postale, à réduire le partage inutile de données, à maintenir les filtres antispam actifs et à fermer les anciens profils exposés. Si vos informations apparaissent également dans d’autres fuites, les champs de données de chaque incident doivent être évalués séparément; une seule correspondance ne signifie pas que les mots de passe de tous vos comptes ont été volés.