Fuite de données chez Switch

Les types de données répertoriés pour cet incident sont les adresses e-mail, les candidatures, les noms et les profils sur les réseaux sociaux. Lorsque des candidatures et des informations issues de profils sur les réseaux sociaux sont réunies, elles peuvent servir à préparer des messages ciblés liés à la situation professionnelle actuelle d’une personne. L’utilisation combinée de ces champs peut conduire à une prise de contrôle de compte, à de l’ingénierie sociale, à une fraude, à un ciblage physique ou à des atteintes à la vie privée.

Cette fiche ne répertorie pas de champ de mot de passe; le risque concerne surtout la confidentialité du parcours professionnel, le profil du candidat et les fraudes au recrutement. Pour les fiches contenant des mots de passe, l’utilisation du même mot de passe, ou d’un mot de passe similaire, sur d’autres services constitue l’un des risques les plus importants. Pour celles qui ne contiennent pas de mots de passe, des champs relatifs à l’appareil, à la localisation, au téléphone, à l’adresse, à la formation, aux candidatures ou au contexte financier peuvent rendre les messages ciblés plus convaincants.

La fiche couvre environ 5 400 enregistrements de candidats ou de clients associés au domaine switchit.hu. Elle est classée comme confirmée. Lors de l’évaluation du périmètre, le nombre de comptes, le domaine, le secteur, le pays et les catégories de données ont été vérifiés séparément. Les champs de données présentés à l’utilisateur ont été limités à ceux qui figurent effectivement dans la fiche.

Le secteur a été corrigé : il ne s’agit pas de la technologie en général, mais du recrutement informatique et de la chasse de têtes. Cette distinction est particulièrement importante en présence de noms de marques similaires, de fiches couvrant plusieurs services ou de secteurs sensibles. La fiche n’a pas été fusionnée avec un autre incident ni élargie d’une manière susceptible de créer des doublons, et le contexte de l’entreprise a été précisé autant que possible.

Les candidats qui postulent par l’intermédiaire de Switch, les professionnels de l’informatique et les personnes dont les profils sur les réseaux sociaux sont liés à une candidature sont exposés au risque. Pour ces personnes, le risque principal réside dans le rapprochement des champs divulgués avec des informations également utilisées sur d’autres comptes. Lorsqu’une même adresse e-mail, un même numéro de téléphone, un même nom d’utilisateur, un même identifiant d’appareil ou un même mot de passe est réutilisé, les attaquants peuvent tenter d’utiliser ces informations sur différents services.

Dans le contexte du recrutement, ces informations peuvent être détournées pour de fausses offres d’emploi, des négociations salariales, des demandes de documents ou des messages contenant des liens pour des entretiens d’embauche. Pour les utilisateurs professionnels, les courriels liés au travail et les informations sur les tâches sont particulièrement concernés. Pour les particuliers, ce sont plutôt l’adresse, la date de naissance et les informations liées aux achats, à la localisation ou à l’adhésion à un service. Dans des domaines comme l’éducation, les télécommunications, la finance, les voyages, la politique, les candidatures et les VPN, le contexte lui-même peut aussi accroître le risque de ciblage.

Si vous êtes concerné, vérifiez vos comptes de candidature et vos courriels professionnels, ainsi que toute offre d’emploi ou demande de dépôt de documents inattendue. Si un mot de passe ou un champ assimilable à un mot de passe est répertorié, changez-le sur tous les comptes où vous utilisez le même mot de passe, choisissez un mot de passe unique pour chaque compte et activez l’authentification multifacteur lorsque c’est possible. N’agir que sur une seule plateforme peut ne pas suffire.

Si des champs tels que le téléphone, l’adresse, la date de naissance, l’identifiant d’appareil, les données d’une pièce d’identité officielle, la candidature ou le solde de récompenses sont présents, vérifiez les informations de récupération de compte, les sessions enregistrées, les règles de transfert des courriels et les messages suspects. Les organisations doivent adapter leurs procédures pour faire face aux alertes concernant les employés, aux fausses factures et aux tentatives de vérification de comptes.

Les candidats devraient limiter au minimum le partage de leurs profils personnels sur les réseaux sociaux dans leurs candidatures, utiliser des mots de passe distincts sur les plateformes de recrutement et faire preuve de prudence lors du partage de documents. À long terme, les principaux moyens de protection sont l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification multifacteur, la fermeture des anciens comptes, la suppression des champs de profil inutiles et la minimisation des données. Les données personnelles permanentes ne pouvant pas être récupérées, la protection repose sur le renforcement des pratiques de sécurité liées aux comptes.

Du côté des entreprises et des institutions, l’inventaire après l’incident, les droits d’accès, la conservation des anciennes données, les procédures de notification et l’utilisation de plateformes tierces doivent être réexaminés. Du côté des utilisateurs, éviter de réutiliser les mêmes informations d’identité sur différents services et prendre l’habitude de vérifier les communications suspectes par un second canal offrent une protection durable.

Vérifiez si les profils sur les réseaux sociaux et l’historique des candidatures que vous avez partagés lors de vos démarches correspondent à cette fiche. Si vous constatez une correspondance, commencez par lire la liste des champs de données répertoriés, puis hiérarchisez vos actions en fonction de ces champs. Si un mot de passe est présent, changez-le en priorité; s’il s’agit de données d’identification officielles, privilégiez la surveillance de votre identité; s’il s’agit d’informations de localisation ou d’appareil, donnez la priorité à la sécurité de l’appareil; s’il s’agit de données de formation ou de candidature, privilégiez la vérification des comptes de l’organisation.

Évaluation finale : bien que cette fiche ne contienne pas de mot de passe, il s’agit d’un incident portant sur des données professionnelles sensibles en raison du contexte des candidatures et des profils sur les réseaux sociaux. Comparez cette fiche avec l’historique de vos comptes et vérifiez séparément chaque service sur lequel vous avez utilisé la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou le même mot de passe. Après l’incident, les appels, messages, courriels ou notifications de récupération de compte inattendus doivent être considérés comme présentant un risque accru.