Fuite de données chez Toumei

Lorsque des adresses e-mail, des noms, des numéros de téléphone et des adresses sont réunis, ils peuvent servir à préparer des messages ciblés dans le cadre de communications personnelles et professionnelles. Dans le secteur des services aux entreprises, de faux messages concernant des contrats, des prestations de conseil, des factures, des propositions commerciales, l’assistance client ou la vérification d’une adresse peuvent paraître plus convaincants.

Lorsque des champs tels que le nom, l’adresse e-mail, le numéro de téléphone, l’adresse, le nom d’utilisateur ou la localisation sont réunis, des attaquants peuvent préparer des messages donnant l’impression qu’une véritable relation de service existe avec l’utilisateur. Ces informations ne signifient pas toujours, à elles seules, qu’un tiers a pris le contrôle d’un compte; elles peuvent toutefois servir à des opérations d’hameçonnage, à de fausses demandes d’assistance, à des notifications de livraison, à des vérifications de compte et à des scénarios de fraude personnalisés. La fiche ne mentionne aucun champ de mot de passe ou de carte de paiement. Néanmoins, le numéro de téléphone et l’adresse postale permettent de joindre plus facilement l’utilisateur directement. Si l’adresse e-mail correspond à un compte professionnel, le risque peut toucher les processus de l’organisation, au-delà de l’utilisateur lui-même.

La date de l’incident est enregistrée au 18 octobre 2023, et le nombre d’adresses e-mail concernées est de 76 682. Des rapports de sécurité font état d’un volume annoncé de plus de 100 millions de lignes et d’environ 10 Go de données, comprenant des champs de nom, de numéro de téléphone et d’adresse postale, ainsi que 77 000 adresses e-mail uniques. La fiche existante concorde avec ces catégories de données.

Le nombre brut de lignes ne doit pas être confondu avec le nombre d’adresses e-mail uniques. Un très grand nombre de lignes peut correspondre à des doublons, à des enregistrements système ou à des champs liés entre eux. Pour l’utilisateur, la vérification pertinente consiste à déterminer si son adresse e-mail figure dans cette fiche.

Les utilisateurs à risque peuvent être des clients, des partenaires commerciaux ou des contacts répertoriés dans le cadre des services de Toumei. Les adresses e-mail professionnelles présentent davantage d’intérêt pour l’envoi de fausses offres et de fausses factures.

Les utilisateurs dont le numéro de téléphone et l’adresse postale sont présents peuvent être ciblés aussi bien par e-mail que par téléphone. Le contexte d’une relation commerciale avec une entreprise basée au Japon peut rendre plus crédibles de faux messages rédigés dans la langue locale ou mentionnant le nom de l’entreprise.

Les utilisateurs pour lesquels une correspondance est trouvée doivent vérifier qu’ils utilisent un mot de passe unique pour chacun des comptes professionnels et personnels concernés. Les factures, les devis et les demandes de vérification d’adresse ou d’assistance client doivent être vérifiés par un autre canal.

Au lieu d’ouvrir directement les liens reçus, connectez-vous au service concerné en utilisant son adresse web connue ou son application officielle. Le fait qu’une personne qui vous appelle connaisse votre nom, votre adresse e-mail, votre adresse postale, votre commande ou les informations de votre profil ne prouve pas qu’elle est digne de confiance. Ne communiquez jamais de codes de vérification à usage unique, d’informations de carte de paiement ou de mots de passe de compte lors d’un échange avec l’assistance.

À long terme, prendre l’habitude d’utiliser un gestionnaire de mots de passe, des mots de passe uniques et l’authentification à deux facteurs, ainsi que de supprimer des comptes les informations personnelles inutiles, réduit le risque. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites; il peut donc être utile d’envisager une adresse e-mail distincte ou un alias pour les comptes critiques.

Pour les comptes liés aux services aux entreprises, les procédures internes d’approbation et de vérification des fournisseurs doivent être renforcées. Les demandes reçues par e-mail visant à modifier un paiement, une adresse ou le personnel habilité ne doivent pas être exécutées sans une seconde approbation écrite.

La vérification sur LeakData indique si l’adresse e-mail recherchée figure dans cette fiche. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il constitue toutefois une alerte suffisante pour prendre des mesures de précaution. Un résultat négatif indique seulement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas la présence de l’adresse dans d’autres fuites.

Un résultat positif accroît les risques liés aux communications professionnelles et au ciblage par téléphone. Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans cette fiche; la même adresse e-mail doit être vérifiée séparément dans d’autres fiches relatives aux services aux entreprises.