Fuite de données chez TehetségKapu

Les types de données répertoriés pour cet incident sont les suivants : adresses e-mail, noms et noms d’utilisateur. Le nom et le nom d’utilisateur, associés à l’adresse e-mail, peuvent servir à créer de faux messages concernant un portail éducatif, une candidature ou une vérification de compte. Utilisées ensemble, ces données peuvent conduire à une prise de contrôle de compte, à des attaques d’ingénierie sociale, à une fraude, à un ciblage dans le monde physique ou à une atteinte à la vie privée.

Cette fiche ne répertorie aucun champ de mot de passe, de date de naissance, d’identifiant officiel ou d’adresse; le niveau de sensibilité a donc été maintenu faible compte tenu de ces champs de données limités. Dans les fiches contenant des mots de passe, l’utilisation du même mot de passe, ou d’un mot de passe similaire, sur d’autres services constitue l’un des risques les plus importants. Dans les fiches sans mots de passe, des champs liés à l’appareil, à la localisation, au téléphone, à l’adresse, à l’éducation, aux candidatures à un emploi ou au contexte financier peuvent rendre les messages ciblés plus convaincants.

La fiche couvre environ 54 000 comptes associés au nom de domaine tehetsegkapu.hu. L’incident appartient à la catégorie des fiches vérifiées. Lors de l’évaluation du périmètre, le nombre de comptes, le nom de domaine, le secteur, le pays et les catégories de données ont été vérifiés séparément. Les champs de données présentés aux utilisateurs ont été limités à ceux effectivement répertoriés dans la fiche.

Le pays a été corrigé : il s’agit de la Hongrie, et non des États-Unis. Le secteur a également été corrigé pour correspondre à un portail consacré à l’éducation et aux talents. Cette délimitation est particulièrement importante en présence de noms de marque similaires, de fiches couvrant plusieurs services ou de secteurs sensibles. La fiche n’a pas été fusionnée avec celle d’un autre incident, ni élargie d’une manière qui créerait des doublons, et le contexte de l’entreprise a été clarifié autant que possible.

Les utilisateurs de TehetségKapu, les élèves, étudiants ou enseignants inscrits sur le portail de l’office de l’éducation, ainsi que les personnes utilisant le même nom d’utilisateur sur d’autres services éducatifs sont exposés à un risque. Pour ces personnes, le principal risque est que les données divulguées puissent être rapprochées d’informations courantes utilisées sur d’autres comptes. Lorsqu’une même adresse e-mail, un même numéro de téléphone, nom d’utilisateur, identifiant d’appareil ou mot de passe est réutilisé, des attaquants peuvent tenter d’utiliser ces informations sur différents services.

Le contexte du portail éducatif peut être exploité dans des messages frauduleux concernant des candidatures, des vérifications de compte, des concours ou des notifications institutionnelles. Pour les utilisateurs professionnels, l’adresse e-mail professionnelle et les informations sur l’emploi sont particulièrement pertinentes; pour les particuliers, ce sont l’adresse, la date de naissance et le contexte d’achat, de localisation ou d’adhésion. Dans des domaines tels que l’éducation, les télécommunications, la finance, les voyages, la politique, les candidatures à un emploi et les VPN, le contexte lui-même peut aussi accroître le risque de ciblage.

Les utilisateurs concernés devraient vérifier leurs comptes de messagerie et rechercher d’éventuelles connexions suspectes sur les portails éducatifs où ils utilisent le même nom d’utilisateur. Si un mot de passe ou un champ assimilable à un mot de passe est répertorié, ils devraient le modifier sur tous les comptes où ils utilisent le même mot de passe, choisir un mot de passe unique et activer l’authentification multifacteur lorsque c’est possible. Agir sur une seule plateforme peut ne pas suffire.

Si la fiche contient des champs tels que le téléphone, l’adresse, la date de naissance, l’identifiant d’appareil, l’identifiant officiel, les candidatures à un emploi ou le solde de récompenses, les utilisateurs devraient vérifier les informations de récupération du compte, les sessions enregistrées, le transfert d’e-mails et les messages suspects. Pour les institutions, les procédures devraient être adaptées afin de traiter les alertes relatives aux employés, les fausses factures et les tentatives de vérification de compte.

Il convient de limiter les champs de profil superflus sur les portails éducatifs et de privilégier des noms d’utilisateur différents ou une protection renforcée des comptes sur les différents services. À long terme, un gestionnaire de mots de passe, des mots de passe uniques, l’authentification multifacteur, la fermeture des anciens comptes, la suppression des champs de profil inutiles et la minimisation des données constituent le socle de la sécurité. Les données personnelles permanentes ne pouvant être récupérées, la protection repose sur l’adoption de pratiques plus sûres pour les comptes.

Du côté des entreprises et des institutions, l’inventaire réalisé après l’incident, les droits d’accès, la conservation des anciennes données, les procédures de notification et l’utilisation de plateformes tierces devraient être réexaminés. Du côté des utilisateurs, éviter de réutiliser les mêmes informations d’identité sur différents services et prendre l’habitude de vérifier les communications suspectes par un second canal offrent une protection durable.

Si cette fiche correspond à votre situation, vous devriez vérifier votre compte sur le portail éducatif ainsi que les autres portails scolaires sur lesquels vous utilisez la même adresse e-mail. Si une correspondance est établie, vous devriez d’abord lire la liste des champs de données répertoriés, puis définir vos priorités en fonction de ces champs. Si un mot de passe est présent, sa modification devrait être prioritaire; s’il s’agit d’un identifiant officiel, la priorité devrait être donnée à sa surveillance; en présence d’informations de localisation ou relatives à un appareil, à la sécurité de l’appareil; et pour des données concernant l’éducation ou des candidatures à un emploi, à la vérification du compte auprès de l’établissement ou de l’organisme concerné.

Évaluation finale : cette fiche n’a pas été marquée comme sensible, car elle contient peu de données. Toutefois, compte tenu du contexte éducatif, le risque de messages ciblés a été clairement indiqué. Vous devriez comparer cette fiche à l’historique de vos comptes et vérifier séparément les services sur lesquels vous avez utilisé la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou le même mot de passe. Après l’incident, les appels, messages, e-mails ou notifications de récupération de compte inattendus devraient être considérés comme présentant un risque accru.