Fuite de données chez Tangerine

Les types de données répertoriés pour cet incident sont les suivants : dates de naissance, adresses e-mail, noms, mots de passe, numéros de téléphone, adresses postales et civilités. Les numéros de téléphone et les adresses sont des données personnelles durables qui peuvent être utilisées dans les procédures de vérification des comptes de télécommunications. Leur utilisation conjointe peut entraîner une prise de contrôle de compte, des attaques d’ingénierie sociale, des fraudes, un ciblage physique ou des atteintes à la vie privée.

Il apparaît que le champ de mot de passe utilisé par le passé contient une valeur de hachage bcrypt; si le même mot de passe a été utilisé sur d’autres comptes, il faut le changer. Lorsqu’un enregistrement contient un mot de passe, l’un des risques les plus critiques est la réutilisation de ce mot de passe, ou d’un mot de passe similaire, sur d’autres services. Dans les enregistrements sans mot de passe, des champs relatifs à l’appareil, à la localisation, au téléphone, à l’adresse, aux études, à une candidature à un emploi ou au contexte financier peuvent rendre les messages ciblés plus convaincants.

La fiche couvre environ 243 000 enregistrements clients associés au domaine tangerinetelecom.com.au. L’incident est classé comme confirmé dans cette fiche. Lors de l’évaluation du périmètre, le nombre de comptes, le nom de domaine, le secteur, le pays et les catégories de données ont été vérifiés séparément. Les champs présentés à l’utilisateur ont été limités à ceux qui figurent effectivement dans la fiche.

Le secteur a été corrigé : il s’agit des télécommunications et de la fourniture d’accès à internet en Australie, et non de la catégorie « autre ». Cette délimitation est particulièrement importante lorsque des marques portent des noms similaires, que des fiches couvrent plusieurs services ou que des secteurs sensibles sont concernés. La fiche n’a pas été fusionnée avec un autre incident ni élargie d’une manière susceptible de créer des doublons, et le contexte de l’entreprise a été clarifié autant que possible.

Les clients de Tangerine qui utilisent la même combinaison de numéro de téléphone et d’adresse e-mail pour leurs comptes bancaires ou leurs comptes de services publics sont à risque. Pour ces personnes, le principal risque est que les données divulguées puissent être rapprochées d’informations communes à d’autres comptes. Lorsque la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur, le même identifiant d’appareil ou le même mot de passe est réutilisé, les attaquants peuvent essayer ces informations sur différents services.

Le contexte des télécommunications peut être exploité au moyen de faux messages concernant la vérification d’une ligne, la facturation, un modem, un changement de SIM ou une vérification d’identité. Pour les utilisateurs professionnels, l’adresse e-mail professionnelle et les informations sur l’emploi sont particulièrement pertinentes; pour les particuliers, ce sont plutôt l’adresse, la date de naissance, les achats, la localisation ou les informations liées à une adhésion. Dans des domaines comme l’éducation, les télécommunications, la finance, les voyages, la politique, les candidatures à un emploi et les VPN, le contexte lui-même peut aussi accroître le risque de ciblage.

Les utilisateurs concernés doivent vérifier les paramètres de sécurité de leur compte de télécommunications, leurs sessions de messagerie et les demandes de vérification reçues par téléphone. Si un champ de mot de passe ou assimilé est répertorié, ils doivent changer ce mot de passe sur tous les comptes où ils le réutilisent, choisir un mot de passe unique et activer l’authentification multifacteur lorsque cela est possible. Agir sur une seule plateforme peut ne pas suffire.

Si des champs tels que le numéro de téléphone, l’adresse, la date de naissance, l’identifiant d’appareil, un identifiant officiel, une candidature à un emploi ou un solde de récompenses sont présents, les utilisateurs doivent vérifier les informations de récupération de compte, les sessions enregistrées, le transfert des e-mails et les messages suspects. Pour les organisations, les procédures doivent être mises à jour afin de faire face aux alertes adressées aux employés, aux fausses factures et aux tentatives de vérification de comptes.

Des codes PIN client robustes, l’authentification multifacteur et les alertes de changement de SIM sur les comptes de télécommunications offrent une protection à long terme. Dans la durée, l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification multifacteur, ainsi que la fermeture des anciens comptes, la suppression des champs de profil inutiles et la minimisation des données constituent le socle de la sécurité. Les données personnelles durables ne pouvant pas être récupérées, la protection repose sur le renforcement des pratiques de sécurité liées aux comptes.

Du côté des entreprises et des organisations, il convient de réexaminer l’inventaire effectué après l’incident, les droits d’accès, la conservation des anciennes données, les procédures de notification et l’utilisation de plateformes tierces. Du côté des utilisateurs, éviter de réutiliser les mêmes informations d’identité sur différents services et prendre l’habitude de vérifier les communications suspectes par un second canal offrent une protection durable.

Si les données d’un utilisateur correspondent à cette fiche, celui-ci doit se méfier des fausses demandes de vérification susceptibles de lui parvenir par sa ligne téléphonique et son compte de messagerie. En cas de correspondance, il doit d’abord consulter les champs de données répertoriés, puis établir ses priorités en fonction de ceux-ci. Si un mot de passe est présent, son changement doit être prioritaire; s’il s’agit d’un identifiant officiel, il faut privilégier la surveillance de cet identifiant; si des informations de localisation ou sur un appareil sont présentes, la sécurité de l’appareil doit passer en premier; si les données concernent des études ou une candidature à un emploi, la vérification du compte auprès de l’établissement ou de l’organisation concerné doit être prioritaire.

Évaluation finale : cette fiche décrit un incident sensible touchant des données de télécommunications, car elle associe les champs de date de naissance, d’adresse, de numéro de téléphone et de mot de passe. L’utilisateur doit comparer cette fiche avec l’historique de ses propres comptes et vérifier un par un les services sur lesquels il utilise la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou le même mot de passe. Après l’incident, les appels, messages, e-mails ou notifications de récupération de compte inattendus doivent être considérés comme présentant un risque accru.