Fuite de données chez Tracki

Les adresses e-mail et les noms sont les seules catégories de données vérifiées dans cette fiche. L’historique de localisation, les identifiants d’appareils et les données de suivi en temps réel n’en font pas partie. Cette distinction est importante : même si le contexte d’un service GPS peut naturellement sembler plus sensible, il ne faut pas affirmer aux utilisateurs que des données de localisation ont été divulguées sans éléments à l’appui.

L’association d’une adresse e-mail et d’un nom peut servir à créer de faux messages de vérification de compte, d’appairage d’appareil, de renouvellement d’abonnement ou d’alerte de sécurité. Compte tenu de la nature du service Tracki, les attaquants peuvent vous cibler avec des messages évoquant un appareil GPS, le suivi familial, le suivi d’un véhicule ou le paiement d’un abonnement.

La date de l’incident est consignée comme étant le 15 août 2024, et le nombre d’adresses e-mail concernées est de 372 557. Des fiches fiables sur les violations de données indiquent que plusieurs vulnérabilités liées à Tracki ont exposé des noms et des adresses e-mail. Bien que certains rapports évoquent des investigations plus larges, les champs vérifiés dans cette fiche se limitent aux noms et aux adresses e-mail.

La présentation du périmètre ne doit pas inclure d’historique de localisation ni de données sur les déplacements des appareils. Pour les utilisateurs, le risque concret réside dans des messages d’hameçonnage ciblés, conçus autour d’un compte Tracki ou d’un appareil GPS. Pour fournir une information exacte, il est nécessaire de s’en tenir aux catégories de données vérifiées.

Les utilisateurs à risque sont ceux qui ont ouvert un compte Tracki, utilisé un appareil GPS ou communiqué une adresse e-mail pour gérer un appareil. Les personnes qui suivent la localisation de membres de leur famille, de véhicules, d’animaux de compagnie ou de matériel professionnel peuvent être plus susceptibles de se laisser tromper par de fausses notifications concernant leurs appareils.

Les attaquants peuvent envoyer des messages de connexion d’appareil, de renouvellement d’abonnement, de frais liés à une carte SIM, d’alerte de sécurité ou de mise à jour de l’application en utilisant un vrai nom et le contexte du service. Vous devez vérifier ces messages dans l’application officielle.

Si votre adresse e-mail figure dans ces données, vérifiez que vous utilisez un mot de passe unique pour votre compte Tracki et examinez les paramètres de sécurité des services IoT ou de suivi pour lesquels vous utilisez la même adresse. Les connexions d’appareils ou les messages relatifs à des paiements doivent être vérifiés depuis le tableau de bord officiel.

Plutôt que d’ouvrir directement les liens reçus, connectez-vous au service concerné en utilisant son adresse web connue ou son application officielle. Le fait qu’une personne qui vous appelle connaisse votre nom, votre adresse e-mail, votre adresse postale ou des informations sur votre commande ou votre profil ne prouve pas qu’elle est digne de confiance. Ne communiquez jamais de codes de vérification à usage unique, de données de carte bancaire ou de mots de passe de compte lors d’un échange avec un service d’assistance.

À long terme, prendre l’habitude d’utiliser un gestionnaire de mots de passe, des mots de passe uniques et l’authentification à deux facteurs, ainsi que de supprimer les informations personnelles inutiles des comptes, réduit les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le recoupement de données issues de plusieurs fuites. Vous pouvez envisager d’utiliser une adresse e-mail distincte ou un alias pour les comptes critiques.

La sécurité des comptes sur les services de localisation et les services IoT doit être considérée comme essentielle. Vérifiez régulièrement les autorisations de partage des appareils, supprimez les anciens appareils de votre compte et activez l’authentification à deux facteurs si le service la prend en charge.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans les données associées à cette fiche. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il constitue toutefois un signal suffisant pour prendre des mesures de précaution. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas une présence dans d’autres fuites.

Un résultat positif indique une correspondance pour les informations de nom et d’adresse e-mail dans le contexte de Tracki. Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans les données de cette fiche; la même adresse e-mail doit également être vérifiée pour d’autres services IoT ou de suivi.

Pour les services de suivi par appareil comme Tracki, vous devez vous méfier des faux messages qui s’appuient sur le contexte du service. Les données de cette fiche ne contiennent pas d’historique de localisation. Les attaquants peuvent néanmoins tenter de vous orienter vers des liens qui semblent officiels en utilisant des objets de message tels que l’appairage d’un appareil, le renouvellement d’une carte SIM, une alerte de paiement d’abonnement ou une notification de sécurité. Toutes les opérations liées aux appareils et aux paiements doivent donc être gérées uniquement depuis l’application.