Fuite de données chez Teespring

L’adresse e-mail et le nom permettent un premier rapprochement d’identité, tandis que les informations de localisation géographique permettent de concevoir des messages plus convaincants en fonction du pays ou de la région de l’utilisateur. Les profils de réseaux sociaux facilitent, quant à eux, le rapprochement avec une boutique Teespring, l’identité d’un créateur de contenu ou une campagne de vente.

Lorsque des champs comme le nom, l’adresse e-mail, le numéro de téléphone ou l’adresse sont réunis, des attaquants peuvent contacter l’utilisateur en donnant l’impression qu’une véritable relation de service existe. Ces informations ne prouvent pas à elles seules qu’un compte a été compromis; elles constituent toutefois une base solide pour de faux messages d’assistance, des notifications de livraison, des tentatives de réinitialisation de mot de passe et des scénarios de fraude personnalisés. Les mots de passe, les données complètes de cartes de paiement et le contenu des commandes en cours ne sont pas mentionnés dans cette fiche. Néanmoins, les profils de réseaux sociaux et les données de localisation peuvent servir à élaborer de fausses offres de collaboration, des messages de vérification de boutique, des alertes relatives aux droits d’auteur ou des demandes de mise à jour des informations de paiement.

L’incident est associé à 8 234 193 enregistrements concernés, et la date de la fuite est indiquée comme étant le 1er avril 2020. Les rapports publics de sécurité et les fiches consacrées à cette fuite indiquent que les données concernaient des millions d’utilisateurs de Teespring et que les principaux champs étaient l’adresse e-mail, le nom, la localisation et les profils de réseaux sociaux. La présente fiche est cohérente avec ces champs.

Il ne faut donc pas évoquer la divulgation de données non étayées par cette fiche, comme le numéro de téléphone, le mot de passe ou les données de carte de paiement d’un utilisateur. Le périmètre doit se limiter au rapprochement des comptes et des profils de fabricants, ainsi qu’au risque lié aux coordonnées.

Les utilisateurs à risque sont les clients qui achètent des produits sur Teespring, les créateurs de contenu qui ouvrent leur propre boutique et les vendeurs qui associent leurs profils de réseaux sociaux à la plateforme. Si le compte de réseau social est géré avec la même adresse e-mail, le ciblage sur plusieurs plateformes devient plus facile.

Les faux messages de collaboration avec une marque, d’accès à une interface de paiement, de retrait de produit, d’atteinte aux droits d’auteur ou de suspension de boutique présentent un risque particulier pour les créateurs de contenu. Les acheteurs peuvent, quant à eux, être ciblés par des messages concernant l’expédition, les retours ou les promotions. Les informations de localisation peuvent rendre ces messages plus crédibles en faisant référence à la monnaie locale ou à des services de livraison locaux.

Les utilisateurs pour lesquels une correspondance est établie sur ces champs doivent s’assurer d’utiliser un mot de passe robuste et unique pour leur compte Teespring et pour chacun de leurs comptes de réseaux sociaux gérés avec la même adresse e-mail. Les messages de collaboration, de publicité ou de vérification de boutique reçus sur les profils de réseaux sociaux doivent être vérifiés depuis l’interface officielle.

Au lieu d’ouvrir directement les liens reçus, l’utilisateur doit se connecter depuis l’adresse web connue ou l’application du service concerné. Le fait qu’un interlocuteur connaisse le nom, l’adresse e-mail, l’adresse postale ou des informations sur des transactions passées ne prouve pas qu’il est digne de confiance. Les codes de vérification à usage unique, les données de carte de paiement et les mots de passe des comptes ne doivent jamais être communiqués lors d’un échange avec un service d’assistance.

À long terme, l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs sur les comptes qui la proposent, ainsi que l’habitude de supprimer les informations personnelles inutiles des comptes, réduisent les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le recoupement de plusieurs fuites; l’utilisation d’adresses e-mail distinctes ou d’alias pour les comptes sensibles peut donc être envisagée.

Les créateurs de contenu doivent protéger les comptes de gestion de leurs boutiques et leurs comptes de réseaux sociaux par des mesures de sécurité distinctes. Les comptes administrateurs doivent bénéficier de l’authentification à deux facteurs, de vérifications de l’adresse e-mail de récupération et de contrôles réguliers des sessions. Les anciens liens vers les boutiques et les intégrations inutilisées avec des profils de réseaux sociaux doivent être supprimés.

La vérification LeakData indique si l’adresse e-mail recherchée figure ou non dans cette fiche. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il doit toutefois être considéré comme un avertissement suffisant pour prendre des précautions. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas la possibilité que l’adresse figure dans d’autres fuites.

Un résultat positif doit retenir l’attention, en particulier lorsque des comptes de réseaux sociaux et de commerce en ligne sont liés. Un résultat négatif indique qu’aucune correspondance n’a été trouvée dans la fiche Teespring en particulier; il convient toutefois de vérifier régulièrement si l’adresse e-mail du même créateur de contenu apparaît sur d’autres plateformes.