Fuite de données chez The Post Millennial

Les catégories de données vérifiées sont les adresses e-mail, le genre, les adresses IP, les noms, les mots de passe, les numéros de téléphone, les adresses postales et les noms d’utilisateur. L’adresse e-mail et le nom d’utilisateur peuvent servir à des tentatives d’accès aux comptes, le numéro de téléphone et l’adresse postale à contacter directement les personnes, et l’adresse IP et le genre à rapprocher des profils. Le champ du mot de passe étant signalé comme étant en clair, les utilisateurs qui réutilisent leurs mots de passe constituent le groupe le plus à risque.

Plusieurs ensembles de données étant concernés par l’incident, il ne faut pas considérer que les mêmes champs ont été exposés pour chaque utilisateur. Pour les auteurs et les rédacteurs, les champs les plus notables sont l’adresse IP, l’adresse postale et l’adresse e-mail. Pour les abonnements, les champs du nom, de l’adresse e-mail, du nom d’utilisateur, du numéro de téléphone et du mot de passe sont plus critiques. Un vaste ensemble de données lié à de nombreuses listes d’adresses e-mail a également été signalé. Comme l’appartenance de ces données et le périmètre de leurs sources ne peuvent être vérifiés que de manière limitée, le risque pour l’utilisateur doit être évalué à partir des catégories de données vérifiées et du contexte de la correspondance.

Le périmètre se limite à l’incident de The Post Millennial du 2 mai 2024 et aux 56 973 345 comptes touchés. Le domaine vérifié est thepostmillennial.com. La fiche a été ajoutée le 10 mai 2024 et modifiée pour la dernière fois le 14 mai 2024. Les catégories de données se limitent à une liste vérifiée : les données de carte de paiement, de compte bancaire, de numéro d’identification officiel ou de santé n’y figurent pas.

Certains détails sur la provenance et l’appartenance des données des vastes listes d’adresses e-mail restant incertains, cette description ne donne pas davantage de poids aux affirmations non confirmées. Les champs présentés à l’utilisateur reposent directement sur les catégories de données vérifiées. Cette approche réduit les faux positifs et se concentre sur les mesures nécessaires à la sécurité des comptes, sans exagérer ni minimiser l’impact réel de l’incident.

Le premier groupe à risque comprend les personnes qui se sont abonnées au site ou y ont créé un compte. Pour elles, la combinaison de l’adresse e-mail, du nom d’utilisateur, du numéro de téléphone et du mot de passe présente un risque direct de prise de contrôle du compte. Si le même mot de passe est utilisé pour la messagerie, les réseaux sociaux, les achats en ligne, les abonnements à des sites d’information ou les comptes professionnels, des attaquants peuvent tenter des connexions automatisées sur différentes plateformes.

Le deuxième groupe comprend les auteurs, les rédacteurs et les créateurs de contenu qui travaillent avec ce média. La présence simultanée de l’adresse postale, de l’adresse IP et de l’adresse e-mail accroît les risques de harcèlement ciblé, de divulgation malveillante d’informations personnelles, de fausses sollicitations éditoriales et d’escroqueries fondées sur de prétendus liens professionnels. Pour les personnes qui figurent uniquement dans la vaste liste d’adresses e-mail, les principaux risques sont l’hameçonnage, les messages indésirables et les fausses notifications d’abonnement.

Les utilisateurs touchés doivent d’abord changer le mot de passe de leur compte The Post Millennial et de tous les services sur lesquels ils utilisent le même mot de passe. Les nouveaux mots de passe doivent être uniques et longs, et générés si possible à l’aide d’un gestionnaire de mots de passe. Le compte de messagerie doit également être sécurisé : il convient de vérifier l’historique des connexions, les règles de transfert, les adresses de récupération et les alertes de sécurité inattendues.

La présence des numéros de téléphone et des adresses postales appelle à une vigilance accrue face aux faux messages concernant des livraisons, des abonnements, l’assistance, des dons, des lettres d’information ou la vérification d’un compte. Plutôt que de cliquer sur des liens suspects, il faut saisir manuellement l’adresse du service et vérifier les paramètres de sécurité directement depuis le compte. Les auteurs, les rédacteurs et les autres personnes connues du public doivent également réexaminer leur sécurité physique et leurs paramètres de confidentialité.

La protection à long terme commence par l’abandon complet de la réutilisation des mots de passe et par la reconnaissance du rôle central du compte de messagerie dans la sécurité. Pour chaque service, il convient d’utiliser un mot de passe différent, d’activer l’authentification multifacteur et de vérifier régulièrement les sessions. Il convient de supprimer les anciens abonnements à des sites d’information, les comptes inutilisés et les champs de profil superflus. Les informations durables, telles que les numéros de téléphone et les adresses postales, ne doivent être communiquées qu’aux services qui en ont besoin.

Pour les médias et les services d’abonnement, cet incident montre que les données d’abonnement et les dossiers des auteurs et des rédacteurs doivent être protégés par des politiques de sécurité distinctes. Les mots de passe ne doivent pas être stockés en clair, la minimisation des données doit être appliquée et les droits d’accès doivent faire l’objet d’audits réguliers. Pour les grandes listes d’adresses e-mail, la provenance, le consentement et la durée de conservation doivent être clairement suivis.

L’utilisateur qui constate une correspondance doit d’abord examiner les champs de données visibles. Si un champ de mot de passe est présent, changer ce mot de passe et cesser de le réutiliser est une priorité urgente. Si un numéro de téléphone ou une adresse postale est présent, il faut prêter attention aux alertes concernant les faux appels, les faux messages et les escroqueries exploitant l’adresse. Si une adresse IP, un nom d’utilisateur et un nom sont présents, il convient également d’examiner les liens entre les comptes et les informations de profil accessibles au public.

La fuite de données de The Post Millennial est un incident de sécurité aux conséquences importantes, car des données d’abonnement à un site d’information et des données de l’équipe chargée des contenus ont été exposées dans le cadre du même événement. L’utilisation d’un mot de passe unique, l’authentification multifacteur, la sécurisation de la messagerie, la vérification des messages suspects par un second canal et la réduction des informations personnelles superflues permettent aux utilisateurs de réduire considérablement les risques de prise de contrôle de leurs comptes et d’ingénierie sociale liés à cette fuite.