Fuite de données chez Tokopedia

Lors de cet incident, des données d’identité telles que l’adresse e-mail, le nom complet, le genre et la date de naissance ont été exposées, ainsi que les empreintes de mots de passe. L’association de l’adresse e-mail et du nom complet rend plus convaincants les faux messages concernant des promotions, des commandes, des retours, des expéditions ou des comptes de boutique. La date de naissance et le genre aident les attaquants à créer des messages personnalisés. Bien que les empreintes de mots de passe soient protégées par SHA2-384, si un même mot de passe est réutilisé sur différents services, les attaquants peuvent tenter d’utiliser des mots de passe reconstitués ou devinés sur d’autres sites. Le risque ne doit donc pas être considéré comme limité au seul compte Tokopedia; les autres comptes d’achat, de paiement, de réseaux sociaux et de messagerie utilisant la même adresse e-mail doivent également être pris en compte.

La date de la fuite est consignée au 17 avril 2020, celle du référencement initial au 2 mai 2020 et celle de la mise à jour au 17 juillet 2020. Le périmètre principal retenu par LeakData est de 71 443 698 adresses e-mail uniques. Certains rapports mentionnent un fichier initial de 15 millions de lignes, puis avancent un total d’environ 91 millions d’enregistrements bruts; ces chiffres peuvent différer du nombre d’adresses e-mail uniques en raison de lignes en double, de champs manquants ou d’enregistrements ne contenant pas d’adresse e-mail. Le chiffre présenté à l’utilisateur sur cette page correspond au nombre d’adresses e-mail uniques, qui constitue le périmètre pertinent pour un résultat de recherche. Les catégories vérifiées se limitent à la date de naissance, à l’adresse e-mail, au genre, au nom et aux empreintes de mots de passe; les données relatives aux moyens de paiement ne sont pas incluses dans ce périmètre de recherche.

Le risque est le plus élevé pour les personnes qui ont ouvert un compte Tokopedia avant 2020, utilisé les services d’achat ou de vente, employé la même adresse e-mail pour d’autres services et réutilisé leur mot de passe. Les utilisateurs de services de commerce électronique basés en Indonésie doivent faire preuve d’une vigilance accrue face aux messages concernant le suivi des commandes, les retours, les confirmations de paiement, la vérification des comptes et les bons de réduction. Pour les titulaires d’un compte vendeur, le risque peut être accru par les messages de clients, le tableau de bord de la boutique, les notifications de paiement et les fausses demandes d’assistance. Si la même adresse e-mail est également utilisée pour un compte bancaire, un service de livraison, un réseau social ou un compte professionnel, les attaquants peuvent combiner ces informations pour tenter d’accéder aux comptes et mener des opérations d’hameçonnage ciblé.

Le mot de passe du compte Tokopedia et de tout autre compte créé avec le même mot de passe doit être changé immédiatement. Il convient de privilégier un mot de passe unique, long et aléatoire pour chaque compte, d’utiliser un gestionnaire de mots de passe et d’activer l’authentification multifacteur pour les comptes sensibles. Les e-mails concernant des commandes, des expéditions, des réductions, des retours, le blocage d’un compte ou la vérification d’un paiement doivent être examinés attentivement. Au lieu de cliquer sur les liens du message, il faut saisir manuellement le nom de domaine officiel et ne communiquer à personne les codes à usage unique, que ce soit par téléphone ou par message. Les personnes utilisant un compte vendeur doivent également vérifier les sessions du tableau de bord de leur boutique, les appareils autorisés et les paramètres de paiement. En cas de notification de connexion suspecte, il faut fermer les sessions et lancer la procédure de réinitialisation du mot de passe par un canal de confiance.

Le risque persistant lié aux fuites de données dans le commerce électronique vient de l’utilisation conjointe des données de profil des clients, de listes de mots de passe et de messages d’hameçonnage. Les utilisateurs doivent régulièrement passer en revue leurs anciens comptes de boutique, fermer les comptes inutilisés, réduire les autorisations d’utilisation de leurs données à des fins marketing et recourir à une vérification supplémentaire sur les comptes sensibles créés avec la même adresse e-mail. Du côté des organisations, il convient de limiter au minimum les données clients conservées, d’utiliser des algorithmes de hachage des mots de passe robustes et à jour, d’appliquer un salage et des mécanismes de protection supplémentaires, et de surveiller les exportations inhabituelles ainsi que les requêtes portant sur de grands volumes de données à l’aide de systèmes d’alerte précoce. Les notifications destinées aux utilisateurs doivent être rédigées dans un langage clair, comporter des dates et expliquer explicitement les catégories de données concernées, afin que les utilisateurs sachent quels comptes vérifier.

Vous pouvez vérifier si votre adresse e-mail figure dans la fuite de données de Tokopedia en effectuant une recherche sur LeakData. Si une correspondance est trouvée, occupez-vous en priorité de votre compte Tokopedia, puis des autres comptes utilisant la même adresse e-mail ou le même mot de passe. Outre le changement de mot de passe, il est important d’activer l’authentification multifacteur, de vérifier l’historique des sessions et de retirer les autorisations accordées aux anciens appareils. Méfiez-vous davantage des messages contenant des détails personnels, compte tenu de l’exposition de votre date de naissance et de votre nom. Si vous recevez un lien inattendu concernant une livraison, un retour, une vérification de compte ou une promotion, accédez vous-même au site officiel avant de saisir vos informations. Ces mesures réduisent la probabilité que les données issues de la fuite de 2020 soient utilisées aujourd’hui pour tester l’accès à des comptes, envoyer de fausses notifications d’achat et mener des fraudes ciblées.