Fuite de données chez TheGradCafe

En croisant le nom d’utilisateur, l’adresse e-mail, le nom et la localisation, il est possible de relier une identité utilisée au sein d’une communauté en ligne à une personne réelle. Les mots de passe hachés présentent également un risque pour d’autres comptes si les mêmes mots de passe y sont réutilisés. Des champs comme l’adresse IP et l’adresse postale permettent de mieux cerner l’activité en ligne de l’utilisateur et son contexte géographique.

Lorsque des champs comme le nom, l’adresse e-mail, le numéro de téléphone ou l’adresse postale sont réunis, des attaquants peuvent contacter l’utilisateur en faisant croire à une relation légitime avec un prestataire. Ces informations ne prouvent pas, à elles seules, qu’un compte a été compromis; elles constituent toutefois une base solide pour de faux messages d’assistance, des notifications de livraison, des tentatives de réinitialisation de mot de passe et des scénarios de fraude personnalisés. Comme ces données sont liées aux démarches d’inscription, de formation et de candidature, de fausses communications universitaires, des offres de conseil à l’admission, des demandes de paiement de frais de candidature, des notifications de bourse ou des messages de vérification de compte peuvent sembler plus convaincants. Même si l’on ne s’attend pas à ce que chaque ligne contienne un numéro de téléphone et une adresse postale, ces champs peuvent figurer dans certains enregistrements.

La date indiquée pour l’incident est le 26 février 2023, et le nombre de comptes concernés est de 310 975. Les journaux de sécurité indiquent que des données personnelles d’utilisateurs de TheGradCafe ont été exposées, que les mots de passe étaient hachés avec bcrypt et que certains enregistrements peuvent aussi contenir des champs supplémentaires, comme un numéro de téléphone, une adresse postale et une date de naissance. Les catégories de données présentes correspondent aux principaux risques décrits.

Il ne faut pas affirmer que les mots de passe sont en clair lorsqu’on décrit l’étendue de l’incident. Un mot de passe haché présente encore un risque s’il est réutilisé. Par ailleurs, cette fiche ne signifie pas que tous les résultats de candidature ou tous les messages privés ont été divulgués; l’incident doit être évalué sous l’angle des comptes utilisateurs, des profils et des communications.

Les utilisateurs à risque sont ceux qui ont créé un compte sur TheGradCafe pendant leurs démarches de candidature aux études de deuxième et troisième cycles, partagé leur expérience de candidature ou participé sous leur nom d’utilisateur à des espaces de type forum. Ceux qui utilisent le même nom d’utilisateur sur d’autres plateformes universitaires peuvent être identifiés plus facilement par recoupement.

Pendant la période de candidature, les utilisateurs peuvent être plus réceptifs aux messages portant sur des sujets sensibles comme les bourses, l’admission, les visas, les services de conseil ou les frais de candidature. Lorsque la localisation géographique et les informations d’adresse IP sont rapprochées du contexte de l’établissement ou du pays concerné, les messages ciblés peuvent paraître plus crédibles.

Si une correspondance vous concerne, changez le mot de passe de votre compte TheGradCafe ainsi que celui de tous les comptes sur lesquels vous utilisez le même mot de passe. Vérifiez en priorité vos comptes de messagerie, vos portails de candidature universitaire et les plateformes éducatives sur lesquelles vous effectuez des paiements. Activez l’authentification à deux facteurs partout où cela est possible.

Plutôt que d’ouvrir directement les liens reçus, connectez-vous au service concerné en passant par son adresse web habituelle ou son application. Le fait qu’un interlocuteur connaisse votre nom, votre adresse e-mail, votre adresse postale ou des informations sur vos transactions passées ne prouve pas qu’il est digne de confiance. Ne communiquez jamais de codes de vérification à usage unique, de données de carte de paiement ou de mots de passe de compte lors d’un échange avec un service d’assistance.

À long terme, l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs sur les comptes qui le permettent, ainsi que l’habitude de supprimer les informations personnelles inutiles des comptes, réduisent les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le recoupement de données issues de plusieurs fuites; vous pouvez donc envisager d’utiliser des adresses e-mail distinctes ou des alias pour vos comptes critiques.

Comme les noms d’utilisateur employés dans les communautés universitaires peuvent facilement être reliés à des identités réelles, limitez le partage d’informations personnelles inutiles sur vos profils de forum. Fermez vos anciens comptes de candidature, évitez les informations personnelles prévisibles dans les réponses aux questions de sécurité et protégez vos comptes sur les portails de candidature avec des mots de passe distincts.

La vérification effectuée par LeakData indique si l’adresse e-mail recherchée figure ou non dans les données associées à cette fiche. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il doit toutefois être considéré comme un avertissement suffisant pour prendre des précautions. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas la présence de cette adresse dans d’autres fuites.

Un résultat positif appelle à la prudence, en particulier face aux messages liés aux candidatures dans l’enseignement et à la sécurité des comptes. Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans les données associées à cette fiche; il convient également de vérifier séparément si la même adresse e-mail apparaît sur d’autres plateformes éducatives.