Fuite de données chez SuperDraft

Les types de données répertoriés dans cet incident sont les suivants : dates de naissance, adresses e-mail, localisations géographiques, coordonnées de latitude et de longitude, mots de passe, informations sur les achats et noms d’utilisateur. Les coordonnées de latitude et de longitude et les informations sur les achats peuvent avoir des conséquences non seulement sur le compte de l’utilisateur, mais aussi sur sa localisation physique et son historique de transactions. Utilisés conjointement, ces champs peuvent conduire à une prise de contrôle du compte, à des attaques par ingénierie sociale, à des fraudes, à un ciblage physique ou à des atteintes à la vie privée.

D’après les informations disponibles, les mots de passe sont associés à des empreintes bcrypt. Une méthode de hachage robuste réduit le risque, mais celui-ci subsiste en cas de réutilisation des mots de passe. Pour les fiches contenant des mots de passe, l’utilisation de mots de passe identiques ou similaires sur d’autres services constitue l’un des risques les plus importants. Pour les fiches sans mots de passe, des champs relatifs à l’appareil, à la localisation, au téléphone, à l’adresse, aux études, aux candidatures à un emploi ou au contexte financier peuvent rendre les messages ciblés plus convaincants.

La fiche couvre environ 300 000 comptes clients associés au domaine superdraft.io. La fiche de cet incident est classée comme vérifiée. Lors de l’évaluation du périmètre, le nombre de comptes, le domaine, le secteur d’activité, le pays et les catégories de données ont été vérifiés séparément. Les champs de données présentés à l’utilisateur se limitent à ceux qui sont effectivement répertoriés dans la fiche.

Le champ de latitude et de longitude, absent de la version précédente de la fiche, a été ajouté aux catégories de données. Cette délimitation est particulièrement importante lorsque les noms de marques se ressemblent, que les fiches couvrent plusieurs services ou que les secteurs concernés sont sensibles. La fiche n’a pas été fusionnée avec un autre incident ni élargie d’une manière susceptible de créer des doublons, et le contexte de l’entreprise a été précisé autant que possible.

Les clients de SuperDraft qui utilisent le même nom d’utilisateur sur des comptes de sport ou de jeu, ainsi que les utilisateurs dont les données comprennent des informations de localisation, sont à risque. Le principal risque pour ces personnes est que les données divulguées puissent être rapprochées d’informations communes utilisées sur d’autres comptes. Lorsqu’une même adresse e-mail, un même numéro de téléphone, nom d’utilisateur, identifiant d’appareil ou mot de passe est réutilisé, des attaquants peuvent essayer ces informations sur différents services.

Le contexte des sports fantasy peut être exploité au moyen de faux messages concernant une récompense, un paiement, l’utilisation d’une récompense ou la vérification d’un compte. Pour les utilisateurs professionnels, l’adresse e-mail professionnelle et les informations sur les tâches occupent une place importante. Pour les particuliers, ce sont plutôt l’adresse, la date de naissance, les achats, la localisation ou les informations liées à l’adhésion. Dans des domaines tels que l’éducation, les télécommunications, la finance, les voyages, la politique, les candidatures à un emploi et les VPN, le contexte lui-même peut également accroître le risque de ciblage.

Les utilisateurs concernés doivent changer leurs mots de passe, vérifier leur historique de paiements et d’achats et rechercher d’éventuelles sessions inconnues sur leurs comptes. Si un champ de mot de passe ou un champ similaire est répertorié, les utilisateurs doivent modifier le mot de passe de tous les comptes sur lesquels ils réutilisent celui-ci, choisir un mot de passe unique et activer l’authentification multifacteur lorsque cela est possible. Intervenir sur une seule plateforme peut ne pas suffire.

Si des champs tels que le téléphone, l’adresse, la date de naissance, l’identifiant d’appareil, la pièce d’identité officielle, la candidature à un emploi ou le solde de récompenses sont présents, les utilisateurs doivent vérifier les informations de récupération de compte, les sessions enregistrées, les règles de transfert des e-mails et les messages suspects. Les institutions doivent adapter leurs procédures face aux alertes destinées aux employés, aux fausses factures et aux tentatives de vérification de compte.

Sur les comptes de sport et de jeux avec gains, les données de localisation et de paiement doivent être limitées lorsqu’elles ne sont pas nécessaires, et la sécurité des comptes doit être vérifiée régulièrement. À long terme, un gestionnaire de mots de passe, des mots de passe uniques, l’authentification multifacteur, la fermeture des anciens comptes, la suppression des champs de profil inutiles et la minimisation des données constituent les bases de la protection. Puisque les données personnelles permanentes ne peuvent pas être récupérées, la défense repose sur le renforcement des pratiques de sécurité des comptes.

Du côté des entreprises et des institutions, l’inventaire après incident, les droits d’accès, la conservation des anciennes données, les procédures de notification et l’utilisation de plateformes tierces doivent être réexaminés. Du côté des utilisateurs, éviter de réutiliser les mêmes informations d’identité sur différents services et prendre l’habitude de vérifier les communications suspectes par un autre canal assurent une protection durable.

Si les informations de l’utilisateur correspondent à cette fiche, il doit vérifier tous les comptes de sport, de jeu et de paiement sur lesquels il utilise la même combinaison d’adresse e-mail et de mot de passe. Si une correspondance est constatée, l’utilisateur doit d’abord consulter les champs de données répertoriés, puis établir ses priorités en fonction de ces champs. Si un mot de passe est présent, la priorité est de le changer; si une pièce d’identité officielle est présente, de surveiller son utilisation; si des informations de localisation ou d’appareil sont présentes, de sécuriser l’appareil; si des informations sur les études ou les candidatures à un emploi sont présentes, de vérifier les comptes institutionnels.

Évaluation finale : cette fiche a été classée comme sensible, car elle combine des champs de mot de passe, de date de naissance, d’achat et de localisation. L’utilisateur doit comparer cette fiche à l’historique de ses comptes et vérifier séparément les services sur lesquels il utilise la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou le même mot de passe. Après l’incident, tout appel, message, e-mail ou notification de récupération de compte inattendu doit être considéré comme présentant un risque accru.