Fuite de données chez Tibber

Les types de données répertoriés pour cet incident sont les adresses e-mail, les localisations géographiques, les noms et les informations d’achat. Les données de consommation d’énergie et de localisation peuvent rendre de fausses factures ou de faux messages du service client plus convaincants. Le rapprochement de plusieurs champs concernant une même personne peut rendre plus crédibles les tentatives des attaquants fondées sur de fausses notifications, la récupération de compte, l’ingénierie sociale ou le rapprochement d’identités.

Le champ « mot de passe » ne figure pas dans cette fiche; le risque concerne principalement le compte auprès du fournisseur d’énergie, la facturation et les communications avec les clients. Lorsque des champs tels que le mot de passe, l’indice de mot de passe, les messages privés, une pièce d’identité officielle, les informations financières, la localisation ou la photo de profil sont présents, le risque ne se limite pas aux e-mails indésirables. Même dans les fiches ne contenant pas de mot de passe, les informations relatives au téléphone, à l’adresse, à l’IP, à la date de naissance ou au profil sur les réseaux sociaux peuvent servir à des attaques ciblées.

La fiche couvre environ 50 000 enregistrements clients associés au domaine tibber.com. L’incident est classé comme un cas confirmé. Le périmètre a été établi en vérifiant séparément le nombre de comptes, le nom de domaine, le pays, le secteur et les catégories de données. Les types de données non répertoriés ne sont pas présentés comme étant présents dans les données vous concernant.

Le secteur a été corrigé pour correspondre à l’énergie et à la fourniture d’électricité. Dans certains cas, la réponse de l’entreprise concerne des contextes différents, tels qu’un service tiers, un compte de forum, une liste de diffusion de newsletter ou un profil utilisateur. Ces fiches ont été séparées au cas par cas, sans duplication, et le contexte réel du service concerné par l’incident a été préservé.

Les clients de Tibber, les personnes disposant d’un compte auprès d’un fournisseur d’énergie et les utilisateurs susceptibles d’être ciblés en fonction de leur ville ou de leur code postal sont à risque. Le principal risque est que les données divulguées soient recoupées avec des informations utilisées sur d’autres plateformes. Si vous réutilisez la même adresse e-mail, le même nom d’utilisateur, le même numéro de téléphone, la même adresse IP, la même adresse ou le même mot de passe sur différents comptes, les attaquants peuvent exploiter ces identifiants communs.

Le contexte énergétique peut être exploité dans de faux messages concernant une facture, un compteur, un paiement, une réduction ou la vérification d’un abonnement. Des contextes différents, tels que les forums, les jeux, les recettes de cuisine, l’hébergement, l’énergie, les billets d’événements, les newsletters, les réseaux sociaux et la finance, présentent des risques différents. Vous devez tenir compte non seulement des champs de données, mais aussi du service auquel ils sont associés.

Si vous êtes concerné, vérifiez les messages relatifs aux factures et aux paiements par le canal officiel et contrôlez la sécurité de l’adresse e-mail associée à votre compte. Si un mot de passe ou un indice de mot de passe est répertorié, changez le mot de passe sur tous les comptes où vous utilisez un mot de passe identique ou similaire, choisissez un mot de passe unique et activez l’authentification multifacteur partout où elle est proposée. Vérifiez également la sécurité de votre compte de messagerie.

Lorsque les données répertoriées comprennent un numéro de téléphone, une adresse, une localisation, une date de naissance, des messages privés, un profil sur les réseaux sociaux ou des informations financières, vérifiez les options de récupération de compte, l’historique des connexions, les règles de transfert et les notifications suspectes. Si vous disposez d’un profil professionnel ou public, tenez également compte du risque de messages ciblés et d’atteinte à votre réputation.

Des vérifications rigoureuses des calculs liés à l’énergie, le contrôle des notifications de facturation et la limitation de la conservation des anciennes données clients sont importants. À long terme, les protections fondamentales sont l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification multifacteur, la fermeture des anciens comptes et la réduction des informations de profil inutiles. Certaines données personnelles étant immuables, il convient de renforcer vos pratiques de sécurité et les paramètres de vos comptes.

Pour les organisations, ces incidents montrent la nécessité d’auditer régulièrement les accès aux fichiers de sauvegarde, les autorisations des comptes de forum, les données d’abonnement aux newsletters, les durées de conservation des données clients et les processus de notification. Pour vous protéger durablement, évitez de réutiliser les mêmes informations d’identité sur différents services et vérifiez les messages inattendus par un second canal.

Si vos données correspondent à cette fiche, vérifiez les notifications suspectes dans votre compte auprès du fournisseur d’énergie et dans votre compte de messagerie. Si une correspondance est constatée, commencez par lire la liste des champs de données concernés, puis définissez vos priorités en conséquence. Si un mot de passe est présent, donnez la priorité à son changement; si des données financières sont présentes, à la surveillance du compte; s’il s’agit de messages privés ou de profils sur les réseaux sociaux, au contrôle de la confidentialité; si une localisation est présente, à l’évaluation de votre sécurité physique.

Évaluation finale : bien que cette fiche ne contienne pas de mot de passe, les données clients ont été considérées comme sensibles en raison du contexte de consommation d’énergie, de localisation et de dépenses. Comparez cette fiche avec l’historique de votre compte; vérifiez séparément les services sur lesquels vous utilisez la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur, la même adresse ou le même mot de passe. Après l’incident, tout appel, e-mail, message ou notification de récupération de compte suspect doit être considéré comme présentant un risque accru.