Fuite de données chez SuperVPN & GeckoVPN

Les catégories de données dont l’exposition est confirmée sont les adresses e-mail, les informations sur les appareils, les numéros de série des appareils, les numéros IMSI, les localisations géographiques et les historiques de connexion. Le champ géographique indique le pays depuis lequel une connexion a eu lieu; il ne permet pas d’établir que des coordonnées GPS précises ont été exposées. Les historiques de connexion peuvent indiquer les dates et heures auxquelles une personne a accédé au service. Une adresse e-mail peut servir à contacter directement une personne et à relier ses différents comptes, ce qui augmente le risque d’hameçonnage ciblé. Les identifiants persistants, tels que les numéros de série et les numéros IMSI, peuvent faciliter le rapprochement de plusieurs enregistrements concernant un même appareil. Les mots de passe, noms d’utilisateur, noms complets et informations de paiement ne font pas partie des catégories vérifiées pour ce jeu de données. Les premières affirmations concernant ces champs ne sont donc pas présentées ici comme une exposition confirmée.

La date de référence de l’incident est le 25 février 2021. Les premiers articles, publiés le lendemain, décrivaient la mise en vente, par un utilisateur d’un forum, d’archives associées à plusieurs services VPN gratuits pour Android. L’ensemble de 20 339 937 enregistrements d’adresses e-mail uniques, vérifié par la suite, a été répertorié sous les noms SuperVPN et GeckoVPN. Un petit nombre d’enregistrements associés à une troisième application VPN figuraient dans le même fichier, ce qui laisse penser que ces services partageaient peut-être une plateforme ou une infrastructure de données. L’annonce de vente initiale évoquait des bases de données accessibles publiquement et des identifiants d’accès par défaut, mais cette méthode d’accès n’a pas été établie de manière indépendante comme la cause certaine de la fuite. Cet incident est classé comme une fuite de données vérifiée, et non comme une compilation d’identifiants, des données issues d’un logiciel malveillant voleur d’informations ou une allégation reposant uniquement sur une publication de forum non vérifiée.

Les personnes les plus à risque sont celles qui avaient utilisé l’application Android SuperVPN ou GeckoVPN au plus tard au début de 2021 et s’étaient connectées au service avec une adresse e-mail. Si vous utilisiez cette même adresse pour d’autres comptes, vous pourriez recevoir des messages plus convaincants faisant référence à votre utilisation d’un VPN. Le pays et les horodatages de connexion pourraient aider un escroc à adapter un message en évoquant un voyage, un problème de connexion ou un renouvellement d’abonnement. Un modèle d’appareil, un numéro de série ou un IMSI ne révèle pas à lui seul le mot de passe d’un compte, mais peut renforcer des tentatives d’ingénierie sociale visant à faire croire que l’expéditeur connaît déjà l’utilisateur ou son appareil. Les coordonnées GPS précises, le contenu des messages, l’historique de navigation et le trafic internet passant par le VPN ne font pas partie du périmètre confirmé et leur exposition ne doit pas être déduite de cette fiche.

Votre première priorité est de vérifier si le compte de messagerie associé à SuperVPN ou GeckoVPN présente des sessions que vous ne reconnaissez pas, des alertes de sécurité ou des demandes inattendues de réinitialisation de mot de passe. Activez l’authentification multifacteur sur votre messagerie et, lorsque cela est possible, privilégiez une application d’authentification, une clé d’accès ou une clé de sécurité matérielle plutôt que les SMS. Si l’application est toujours installée, vérifiez sa version et son développeur dans la boutique officielle d’applications. Supprimez-la si vous n’en avez plus besoin, puis examinez les autorisations des applications Android et les profils VPN enregistrés afin de repérer les accès qui pourraient subsister. Vous devriez également remplacer tout mot de passe faible ou réutilisé sur le compte de messagerie concerné par un mot de passe fort et unique. Ne suivez pas les liens contenus dans des messages prétendant proposer une assistance VPN, un renouvellement d’abonnement, une vérification de l’appareil ou un remboursement. Pour toute démarche légitime, passez par la fiche de l’application que vous avez enregistrée dans la boutique d’applications ou par un autre canal vérifié du service.

Ne choisissez pas un VPN uniquement parce qu’il compte un grand nombre d’installations ou qu’il est présenté comme gratuit. Vérifiez si le fournisseur identifie son entité juridique, dispose d’une assistance joignable, publie une politique de confidentialité à jour, fait l’objet d’évaluations de sécurité indépendantes et prévoit une procédure pour informer les utilisateurs en cas d’incident. Une déclaration « sans journaux » ne suffit pas à elle seule : examinez les données que le service collecte pour la création de comptes, les diagnostics, la publicité et la gestion des abonnements. Laissez les alertes de connexion activées sur votre compte de messagerie et vérifiez régulièrement son adresse et son numéro de téléphone de récupération. Un IMSI ou un numéro de série d’appareil ne peut pas être remplacé comme un mot de passe. Le fait qu’un interlocuteur ou l’expéditeur d’un message connaisse l’un de ces identifiants ne doit donc jamais être considéré comme une preuve de sa légitimité. Si votre opérateur mobile propose un code PIN de compte ou un code de sécurité supplémentaire, activez-le pour ajouter une protection contre les tentatives de détournement de carte SIM et de prise de contrôle du compte.

Pour savoir si vous figurez dans le jeu de données SuperVPN & GeckoVPN, vérifiez chaque adresse e-mail que vous avez pu utiliser avec l’un ou l’autre service à l’aide d’un outil fiable de recherche dans les fuites de données. Considérez une correspondance comme la preuve que l’adresse figure dans le jeu de données vérifié, aux côtés de métadonnées sur les appareils et les connexions, et non comme la preuve que votre mot de passe a été obtenu. Incluez vos anciennes adresses, car une adresse remplacée après 2021 peut toujours figurer dans ces données historiques. L’activation d’alertes continues sur les fuites de données vous aidera à réagir plus rapidement si la même adresse est retrouvée dans un autre incident par la suite. Ne saisissez jamais un IMSI ou un numéro de série d’appareil dans un formulaire de vérification des fuites de données et ne communiquez pas ces identifiants à une personne qui vous appelle ou vous écrit sans sollicitation de votre part. Utilisez les résultats uniquement pour prendre des décisions concernant la sécurité de votre propre compte, et non pour déduire l’activité VPN d’une autre personne ou rechercher les adresses d’autres personnes sans leur autorisation.