Fuite de données chez The Heritage Foundation

Les types de données répertoriés dans cet incident sont les suivants : adresses e-mail, adresses IP, noms, mots de passe et noms d’utilisateur. Lorsqu’une adresse IP et un nom d’utilisateur sont associés au contexte d’un commentaire ou d’une contribution de contenu d’une personne, ils peuvent servir à élaborer des messages ciblés ou créer des risques pour sa réputation. L’utilisation conjointe de ces champs peut entraîner une prise de contrôle de compte, de l’ingénierie sociale, des fraudes, un ciblage physique ou des atteintes à la vie privée.

D’après les informations disponibles, les mots de passe sont associés à des valeurs de hachage MD5 ou phpass. Si le même mot de passe a été utilisé sur d’autres comptes, il convient de le changer. Pour les entrées contenant des mots de passe, la réutilisation d’un mot de passe identique ou similaire sur d’autres services constitue l’un des risques les plus importants. Pour les entrées sans mot de passe, des champs relatifs à l’appareil, à la localisation, au téléphone, à l’adresse, aux études, aux candidatures à un emploi ou au contexte financier peuvent rendre les messages ciblés plus convaincants.

La fiche couvre environ 72 000 adresses e-mail uniques associées au domaine heritage.org. L’incident relève de la catégorie des fiches vérifiées. Lors de l’évaluation du périmètre, le nombre de comptes, le domaine, le secteur, le pays et les catégories de données ont été vérifiés séparément. Les champs de données présentés à l’utilisateur se limitent à ceux qui figurent effectivement dans la fiche.

Le secteur a été corrigé : il s’agit d’un groupe de réflexion sur les politiques publiques et d’activités médiatiques, et non de commerce de détail. Cette distinction est particulièrement importante lorsque des marques portent des noms similaires, que des fiches couvrent plusieurs services ou que les secteurs concernés sont sensibles. La fiche n’a pas été fusionnée avec un autre incident ni étendue d’une manière susceptible de créer des doublons. Le contexte de l’organisation a été précisé autant que possible.

Les utilisateurs qui publient des commentaires ou contribuent à des contenus, ainsi que ceux qui utilisent le même nom d’utilisateur sur différentes plateformes politiques ou sociales, sont à risque. Pour ces personnes, le principal risque est que les champs exposés soient rapprochés d’informations communes à d’autres comptes. Lorsqu’une même adresse e-mail, un même numéro de téléphone, nom d’utilisateur, identifiant d’appareil ou mot de passe est réutilisé, des attaquants peuvent tenter d’utiliser ces informations sur différents services.

Le contexte politique peut servir à élaborer des messages portant sur de faux dons, des adhésions, la vérification de commentaires, des comptes médias ou des contributions de contenu. Pour les utilisateurs professionnels, l’adresse e-mail professionnelle et les informations sur l’emploi sont mises en avant; pour les particuliers, l’accent est mis sur l’adresse, la date de naissance, les achats, la localisation ou le contexte d’adhésion. Dans des domaines comme l’éducation, les télécommunications, la finance, les voyages, la politique, les candidatures à un emploi et les VPN, le contexte lui-même peut également accroître le risque de ciblage.

Les utilisateurs concernés doivent changer leurs mots de passe et vérifier les comptes qu’ils utilisent avec le même nom d’utilisateur sur les plateformes sociales et médiatiques. Si un mot de passe ou un champ assimilable à un mot de passe figure dans la liste, les utilisateurs doivent changer le mot de passe de tous les comptes sur lesquels ils le réutilisent, choisir un mot de passe unique et activer l’authentification multifacteur lorsque cela est possible. Agir sur une seule plateforme peut ne pas suffire.

Si des champs tels que le téléphone, l’adresse, la date de naissance, l’identifiant d’appareil, les données d’identification officielles, les candidatures à un emploi ou le solde de récompenses sont présents, les utilisateurs doivent vérifier les informations de récupération de compte, les sessions enregistrées, le transfert des e-mails et les messages suspects. Les organisations doivent actualiser leurs procédures pour faire face aux alertes destinées aux employés, aux fausses factures et aux tentatives de vérification de compte.

L’utilisation d’une adresse e-mail distincte, d’un mot de passe unique et d’informations personnelles limitées dans le profil des comptes servant à commenter des sujets politiques ou publics réduit le risque. À long terme, un gestionnaire de mots de passe, des mots de passe uniques, l’authentification multifacteur, la fermeture des anciens comptes, la suppression des champs de profil inutiles et la minimisation des données constituent les bases de la protection. Les données personnelles permanentes ne pouvant pas être récupérées, cette protection repose sur le renforcement des pratiques de sécurité des comptes.

Du côté des entreprises et des organisations, il convient de réexaminer l’inventaire réalisé après l’incident, les droits d’accès, la conservation des anciennes données, les procédures de notification et l’utilisation de plateformes tierces. Du côté des utilisateurs, éviter de réutiliser les mêmes informations d’identité sur différents services et prendre l’habitude de vérifier les communications suspectes par un autre canal offrent une protection durable.

Si vos informations correspondent à cette fiche, vérifiez si vous utilisez le même nom d’utilisateur et le même mot de passe sur des comptes liés à la politique ou aux médias. En cas de correspondance, commencez par examiner les champs de données répertoriés, puis hiérarchisez les mesures à prendre en fonction de ces champs. Si un mot de passe est présent, donnez la priorité à son changement; s’il s’agit de données d’identification officielles, à la surveillance de votre identité; s’il s’agit d’informations de localisation ou d’appareil, à la sécurité de vos appareils; et s’il s’agit d’informations sur les études ou les candidatures à un emploi, à la vérification de vos comptes auprès des organisations concernées.

Évaluation finale : cette fiche est classée comme sensible, car elle associe un contexte politique à des champs contenant des adresses IP et des mots de passe. Comparez cette fiche à l’historique de vos propres comptes et vérifiez séparément les services sur lesquels vous avez utilisé la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur ou le même mot de passe. Après cet incident, tout appel, message, e-mail ou notification de récupération de compte inattendu doit être considéré comme présentant un risque accru.