Fuite de données chez SurveyLama

Les types de données répertoriés pour cet incident sont les suivants : dates de naissance, adresses e-mail, adresses IP, noms, mots de passe, numéros de téléphone et adresses physiques. Les informations d’adresse, de téléphone, de date de naissance et d’IP augmentent les risques pour les comptes et l’identité lorsqu’elles sont associées aux champs d’adresse e-mail et de mot de passe. L’exploitation conjointe de ces champs peut entraîner une prise de contrôle de compte, des attaques par ingénierie sociale, des fraudes, un ciblage dans le monde physique ou des atteintes à la vie privée.

Il semble que les mots de passe soient stockés à l’aide de différentes méthodes de hachage, telles que SHA-1 avec sel, bcrypt ou argon2. Les utilisateurs qui réutilisent leurs mots de passe restent néanmoins exposés à un risque. L’un des risques les plus importants liés aux enregistrements contenant des mots de passe est l’utilisation du même mot de passe, ou d’un mot de passe similaire, sur d’autres services. Dans les enregistrements sans mot de passe, les champs relatifs à l’appareil, à la localisation, au téléphone, à l’adresse, à la formation, aux candidatures professionnelles ou au contexte financier peuvent rendre les messages ciblés plus convaincants.

Cette fiche couvre environ 4,43 millions de comptes utilisateurs associés au domaine surveylama.com. L’incident est classé dans la catégorie des fiches vérifiées. Lors de l’évaluation du périmètre, le nombre de comptes, le domaine, le secteur, le pays et les catégories de données ont été vérifiés séparément. Les champs de données présentés à l’utilisateur ont été limités à ceux effectivement répertoriés dans la fiche.

Le secteur a été corrigé : il s’agit d’une plateforme de sondages rémunérés et de récompenses, et non de commerce de détail. Cette délimitation est particulièrement importante lorsque des marques portent des noms similaires, qu’une fiche couvre plusieurs services ou que des secteurs sensibles sont concernés. La fiche n’a pas été fusionnée avec celle d’un autre événement, ni élargie d’une manière qui créerait des doublons. Le contexte de l’entreprise a été précisé autant que possible.

Les utilisateurs de SurveyLama, les personnes disposant d’un compte de récompenses et celles qui utilisent le même mot de passe sur d’autres sites de sondages ou d’achats sont exposés à un risque. Le principal risque pour ces personnes tient au rapprochement des champs divulgués avec des informations courantes utilisées sur d’autres comptes. Lorsque la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur, le même identifiant d’appareil ou le même mot de passe est réutilisé, des attaquants peuvent tester ces informations sur différents services.

Le contexte des récompenses et des sondages peut être exploité dans de faux messages de paiement, de retrait de points, d’invitation à un sondage ou de finalisation de profil. Pour les utilisateurs professionnels, l’adresse e-mail professionnelle et les informations liées à l’emploi sont particulièrement pertinentes. Pour les particuliers, ce sont plutôt l’adresse, la date de naissance, les achats, la localisation ou le contexte d’adhésion. Dans des domaines tels que l’éducation, les télécommunications, la finance, les voyages, la politique, les candidatures professionnelles et les VPN, le contexte lui-même peut également accroître le risque de ciblage.

Les utilisateurs concernés doivent changer leurs mots de passe et vérifier leurs comptes de récompenses ainsi que les redirections de paiement. Si un mot de passe ou un champ assimilable à un mot de passe est répertorié, les utilisateurs doivent le changer sur tous les comptes où ils utilisent le même mot de passe, choisir un mot de passe unique et activer l’authentification multifacteur lorsque cela est possible. Agir sur une seule plateforme peut ne pas suffire.

Si des champs tels que le téléphone, l’adresse, la date de naissance, l’identifiant d’appareil, l’identifiant officiel, les candidatures professionnelles ou le solde de récompenses sont présents, les utilisateurs doivent vérifier les informations de récupération de compte, les sessions enregistrées, le transfert automatique des e-mails et les messages suspects. Pour les organisations, les procédures doivent être mises à jour pour faire face aux alertes concernant les employés, aux fausses factures et aux tentatives de vérification de compte.

Les champs des profils personnels sur les plateformes de récompenses doivent être limités autant que possible, et des mots de passe uniques doivent être utilisés pour les comptes de sondages. À long terme, l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification multifacteur, la fermeture des anciens comptes, la suppression des champs de profil inutiles et la minimisation des données constituent les bases de la sécurité. Les données personnelles permanentes ne pouvant pas être récupérées, la protection repose sur le renforcement des pratiques liées aux comptes.

Du côté des entreprises et des organisations, il convient de réexaminer l’inventaire après l’incident, les autorisations d’accès, la conservation des anciennes données, les procédures de notification et l’utilisation de plateformes tierces. Du côté des utilisateurs, éviter de réutiliser les mêmes informations d’identité sur différents services et prendre l’habitude de vérifier les communications suspectes par un second canal offrent une protection durable.

Si une correspondance est établie entre les données d’un utilisateur et cette fiche, celui-ci doit vérifier, en plus de SurveyLama, toutes les plateformes de récompenses sur lesquelles il utilise la même adresse e-mail et le même mot de passe. Si une correspondance est détectée, l’utilisateur doit d’abord prendre connaissance des champs de données répertoriés, puis hiérarchiser les mesures en fonction de ces champs. Si un mot de passe est présent, son changement doit être prioritaire; s’il s’agit d’un identifiant officiel, la surveillance de cet identifiant; s’il s’agit d’informations de localisation ou d’appareil, la sécurité de l’appareil; s’il s’agit de données de formation ou de candidature professionnelle, la vérification du compte auprès de l’établissement ou de l’organisation concernée.

Évaluation finale : cette fiche décrit un incident touchant des données clients sensibles en raison de la présence de champs de mot de passe, d’adresse, de numéro de téléphone, de date de naissance et d’IP. L’utilisateur doit comparer cette fiche à l’historique de ses comptes et vérifier séparément les services sur lesquels il utilise la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou le même mot de passe. Après cet incident, les appels, messages, e-mails ou notifications de récupération de compte inattendus doivent être considérés comme présentant un risque accru.