Fuite de données chez TheSqua.re

Les types de données vérifiés sont les adresses e-mail, les noms, les numéros de téléphone et les champs de localisation géographique ou de ville. Une adresse e-mail peut constituer un indice clé pour déterminer si l’utilisateur a ouvert des comptes sur d’autres services avec cette même adresse. Le nom permet à un attaquant de personnaliser le message; l’ajout d’un numéro de téléphone rend plus crédibles les SMS, les appels et les scénarios dans lesquels une personne se fait passer pour un conseiller clientèle. La ville ou la localisation peut être mise en relation avec les préférences de voyage de l’utilisateur, un éventuel déménagement, son intérêt pour les déplacements professionnels ou sa recherche d’hébergement dans une zone précise. Même si les risques de cette combinaison sont moins directement évidents que ceux d’une simple fuite de mots de passe, elle présente une valeur importante pour l’ingénierie sociale.

La divulgation de mots de passe et d’informations de paiement n’ayant pas été confirmée, les utilisateurs ne doivent pas assimiler à tort cet incident à une fuite de données de cartes de paiement. La gravité du risque tient au caractère actuel des coordonnées et au contexte auquel elles sont liées. Dans le secteur de l’hébergement, le nom, le téléphone et la ville peuvent servir à créer de faux messages portant sur une annulation, un acompte, une arrivée anticipée, une facture, un séjour professionnel ou des offres spéciales. Pour les personnes recherchant un hébergement professionnel, une adresse e-mail professionnelle peut donner l’impression d’un lien avec l’entreprise, même sans être associée au nom de celle-ci. Les utilisateurs concernés doivent donc considérer comme suspects les messages qui semblent liés à l’hébergement ou aux voyages, mais contiennent des liens inattendus.

La date confirmée retenue pour la fuite est le 27 juin 2025, et la fiche a été ajoutée à de vastes répertoires de fuites de données le 27 août 2025. L’incident touche au total 107 041 comptes de messagerie uniques. Des fiches fiables consacrées à la fuite indiquent que les données sont associées à des clients de TheSqua.re et comprennent des champs de nom, de téléphone et d’adresse e-mail, ainsi que des informations sur la ville. Des rapports de sécurité plus limités indiquent que l’incident a été révélé par des partages sur des forums et que certains décomptes faisaient état de nombres différents pour les lignes et les personnes distinctes. Le nombre d’adresses e-mail uniques doit donc servir d’indicateur principal, et le nombre de lignes ne doit pas être confondu avec le nombre d’utilisateurs.

Les éléments exclus du périmètre sont au moins aussi importants que le périmètre lui-même. Aucune preuve vérifiée de fuite ne concerne les mots de passe, les cartes de paiement, les comptes bancaires, les passeports, les pièces d’identité officielles ou le contenu complet des réservations. Par ailleurs, les données d’autres plateformes du même secteur que TheSqua.re ne doivent pas être regroupées avec celles de cet incident. La fuite est classée comme un incident de données lié aux processus de recherche d’appartements avec services et de communication avec les clients. Les champs présentés aux utilisateurs doivent se limiter aux types de données vérifiables; les champs supplémentaires mentionnés dans des affirmations publiées sur des forums, mais peu corroborés par des sources indépendantes, ne doivent pas être ajoutés au périmètre public.

Les principaux groupes à risque sont les particuliers recherchant un hébergement sur TheSqua.re, les personnes prévoyant de déménager, les salariés se renseignant sur des séjours de longue durée dans une autre ville et les personnes ayant des projets de déplacement professionnel. Les utilisateurs qui déposent une demande avec une adresse e-mail professionnelle peuvent être ciblés par de fausses offres d’hébergement professionnel ou des messages portant sur des factures. Ceux qui communiquent leur numéro de téléphone personnel deviennent plus vulnérables aux fraudes par appel et par SMS. Lorsque le compte contient des informations sur la ville, l’attaquant peut adapter son message à une région précise ou à un besoin de déplacement; cela favorise des tentatives d’ingénierie sociale plus convaincantes que de simples messages indésirables.

Les anciennes demandes peuvent également présenter un risque. Même si un utilisateur a recherché un hébergement de courte durée il y a plusieurs années sans utiliser le service, son adresse e-mail et son numéro de téléphone peuvent encore être valides. L’impact est particulièrement étendu lorsque la même adresse e-mail est utilisée pour le travail, les voyages, les achats et les comptes financiers. Les informations deviennent plus sensibles pour les personnes qui recherchent une réservation pour des membres de leur famille, demandent un hébergement au nom d’une entreprise ou cherchent un logement temporaire dans différents pays. Ces utilisateurs pourraient, à l’avenir, avoir du mal à distinguer les faux messages des communications légitimes d’entreprises du secteur du voyage.

Un utilisateur qui constate qu’il est concerné doit d’abord vérifier les paramètres de session, de contact et de notification de son compte TheSqua.re. L’authentification multifacteur doit être activée sur les comptes sensibles utilisant la même adresse e-mail, en donnant la priorité aux comptes de messagerie, aux gestionnaires de mots de passe, aux comptes financiers et aux plateformes de voyage. Même si aucune fuite de mots de passe n’a été confirmée dans cet incident, il serait approprié de changer un mot de passe utilisé depuis longtemps sur de nombreux services. Les utilisateurs ne doivent pas ouvrir directement les offres d’hébergement, les rappels de paiement, les modifications de réservation ou les liens présentés comme liés au service client; ils doivent accéder au service en saisissant eux-mêmes son adresse dans leur navigateur.

Les utilisateurs concernés ne doivent pas communiquer d’informations de paiement, d’identité, de carte ou de récupération de compte lors d’appels inattendus. L’identité de l’appelant doit être vérifiée uniquement par un canal indépendant. Il faut garder à l’esprit que les messages mentionnant une ville peuvent sembler plus convaincants : par exemple, un e-mail faisant référence à une ville où l’utilisateur a déjà recherché un hébergement ne doit pas être automatiquement considéré comme digne de confiance. Les utilisateurs professionnels peuvent favoriser la vigilance face aux faux messages d’hébergement et de facturation en informant les équipes chargées des déplacements ou des ressources humaines de leur entreprise.

À long terme, l’utilisation d’une adresse e-mail distincte ou d’un alias pour les comptes de voyage et d’hébergement réduit l’accumulation de données. Le numéro de téléphone ne doit être renseigné que dans les champs obligatoires et, si possible, les champs de profil inutiles doivent être effacés une fois la réservation finalisée. Les utilisateurs doivent examiner régulièrement leurs anciens comptes liés à l’hébergement, aux événements et aux offres; ils doivent soit supprimer les informations personnelles des comptes qu’ils n’utilisent plus, soit fermer ces comptes. Cela réduit la quantité de données susceptible d’être exposée lors d’un incident similaire à l’avenir.

Dans les entreprises, les processus d’achat de prestations de voyage et d’hébergement doivent s’appuyer sur des listes de diffusion distinctes, des étapes de vérification des fournisseurs et des contrôles d’approbation des factures. L’utilisation de l’adresse e-mail de l’entreprise par les salariés pour leurs recherches personnelles d’hébergement peut être restreinte. Les formations à la sécurité doivent inclure des exemples de faux messages d’hébergement contenant de véritables informations sur la ville et le téléphone. Les particuliers doivent également conserver l’habitude d’utiliser un gestionnaire de mots de passe et une authentification multifacteur robuste, et de vérifier régulièrement si leurs données figurent dans des fuites. Cette approche ne permet pas d’annuler entièrement les conséquences d’un incident de données; elle réduit toutefois considérablement la probabilité d’une utilisation abusive ultérieure.

Si votre résultat mentionne TheSqua.re, considérez cet incident comme une fuite de données d’identité et de coordonnées. La première étape consiste à sécuriser votre compte de messagerie, puis à examiner les comptes de voyage, d’hébergement, de finance et d’achat utilisant la même adresse e-mail. Si votre numéro de téléphone et les informations sur votre ville sont également concernés, redoublez de prudence face aux SMS, aux appels et aux messages proposant des offres liées à une localisation précise. Si vous avez réellement effectué une demande d’hébergement ou une demande de renseignements sur une réservation par le passé, gardez à l’esprit que ce contexte pourrait être exploité dans de faux messages.

Une correspondance sur l’écran des résultats ne signifie pas nécessairement que la divulgation de votre mot de passe ou de votre carte de paiement est établie. Les champs vérifiés se limitent à l’adresse e-mail, au nom, au téléphone et à la localisation. Cet ensemble de données peut néanmoins suffire à mener une fraude ciblée. Avant de supprimer des messages suspects, vous pouvez transmettre leur objet, les informations sur l’expéditeur et les détails des liens à l’équipe de sécurité ou au prestataire concerné. Gardez les notifications activées pour les comptes sensibles, consultez de temps à autre les historiques de session et n’acceptez aucune demande de paiement inattendue liée au secteur de l’hébergement sans vérification indépendante.