Fuite de données de TigTag en 2021

L’examen de l’ensemble des champs visibles dans la fiche TigTag montre que le risque ne provient pas d’un seul type de données. Lorsque des adresses e-mail, des noms d’utilisateur, des informations sur les empreintes de mots de passe, des données relatives aux mots de passe et des dates de création des comptes figurent dans un même profil utilisateur, les attaquants peuvent préparer des messages plus personnalisés et plus convaincants. Les coordonnées et les identifiants de compte ou de profil vérifiés dans la fiche augmentent le risque d’ingénierie sociale et de rapprochement entre profils. Les informations contextuelles supplémentaires sur les comptes présentes dans la fiche peuvent aider les messages frauduleux à paraître issus d’un processus légitime du service.

Les principaux risques mis en évidence dans cet incident sont l’hameçonnage, la prise de contrôle de comptes et les scénarios d’ingénierie sociale. Les attaquants peuvent combiner les champs de la fiche pour préparer de fausses alertes concernant un compte, des réinitialisations de mot de passe, des renouvellements d’adhésion, des notifications d’assistance ou des messages de vérification de sécurité. L’utilisation, dans un message, d’informations de compte réellement présentes dans la fiche peut réduire la vigilance de l’utilisateur. Ainsi, même si la fiche ne contient pas de mot de passe, le risque de rapprochement entre profils et de fraude ciblée subsiste. Si un champ de mot de passe est présent, le risque augmente encore, car le même mot de passe, ou un mot de passe similaire, pourrait être essayé sur d’autres services.

Pour les utilisateurs de TigTag, la première étape consiste à comparer les champs présents dans cette fiche avec leurs propres habitudes d’utilisation des comptes. Si vous avez utilisé les mêmes informations vérifiées de compte ou de contact sur d’autres services, évaluez les messages reçus en tenant compte de l’ensemble de votre identité numérique. Si vous utilisez également le même nom d’utilisateur pour des comptes de réseaux sociaux, de jeux, de forums, d’éducation, de voyages ou d’achats, le risque de rapprochement entre profils augmente. Ne cliquez pas directement sur des liens inattendus, vérifiez les opérations sur vos comptes en passant par des noms de domaine connus, adoptez des mots de passe uniques pour les comptes sur lesquels vous réutilisez le même mot de passe et activez l’authentification multifacteur partout où cela est possible. Pour les fiches contenant des informations sur les empreintes de mots de passe, examinez également les schémas de construction de vos anciens mots de passe. Privilégiez des mots de passe longs et entièrement uniques plutôt que de simples modifications de quelques caractères.

Pour les institutions, la fiche TigTag permet de comprendre dans quel contexte les adresses e-mail ou les comptes personnels de leurs employés apparaissent sur des services externes. Si un employé a utilisé son adresse e-mail professionnelle sur de tels services, les attaquants peuvent réutiliser ces informations dans de fausses demandes d’assistance, notifications de facture ou vérifications de compte, ou dans des messages imitant des échanges internes. Les équipes de sécurité doivent surveiller non seulement les fuites contenant des mots de passe, mais aussi les champs relatifs à l’identité, aux comptes, aux communications et au contexte d’utilisation vérifiés dans la fiche, en raison du risque d’ingénierie sociale.

La fiche de la fuite de données de TigTag se limite donc aux champs étayés, mais ses implications pour la sécurité méritent une attention particulière. Pour les utilisateurs, l’approche la plus adaptée consiste à vérifier les liens reçus par un canal indépendant, à mettre à jour les options de récupération des comptes, à examiner les autres comptes utilisant les mêmes informations et à éviter d’approuver dans la précipitation des demandes inattendues de vérification ou de paiement. Cette page a été mise à jour afin que les utilisateurs recherchant des informations sur la fuite de données de TigTag puissent comprendre, sans exagération, le nombre d’enregistrements, les champs de données concernés et les mesures de protection prioritaires.

Cette dernière vérification de la fiche TigTag vise à garantir que la liste des champs de données reste cohérente avec la description présentée aux utilisateurs. Les personnes effectuant une recherche ne doivent voir sur cette page que les types de données étayés. Aucune affirmation supplémentaire portant sur des champs non étayés ne doit être ajoutée dans le seul but de faire paraître le risque plus important. Cette approche aide les utilisateurs à choisir la mesure de sécurité appropriée et permet également aux organisations de déterminer quelles données de leurs employés peuvent réellement être à risque. Les catégories de données actuellement couvertes se limitent aux champs suivants : adresses e-mail, noms d’utilisateur, métadonnées des empreintes de mots de passe, mots de passe, dates de création des comptes.