Fuite de données chez Ualabee

Dans ce jeu de données, l’association de l’adresse e-mail, du nom, du numéro de téléphone, de la date de naissance et de la photo de profil augmente considérablement le risque d’hameçonnage. La photo de profil et la date de naissance peuvent aider un attaquant à créer des messages qui paraissent plus personnels et plus crédibles à l’utilisateur. Le numéro de téléphone, quant à lui, facilite le recours aux SMS, aux applications de messagerie et aux appels téléphoniques.

En combinant des champs tels que le nom, l’adresse e-mail, le numéro de téléphone ou l’adresse postale, les attaquants peuvent contacter l’utilisateur en donnant l’impression qu’une véritable relation de service existe. Ces informations ne prouvent pas, à elles seules, qu’un attaquant a pris le contrôle d’un compte; elles constituent toutefois une base solide pour de faux messages d’assistance, des notifications de livraison, des tentatives de réinitialisation de mot de passe et des scénarios de fraude personnalisés. Aucun mot de passe ni aucune donnée de carte de paiement ne figurent dans la liste des données de cette fiche; néanmoins, des champs comme la date de naissance et la photo de profil peuvent être utilisés dans des scénarios de récupération de compte, de fausse authentification et d’ingénierie sociale. Les campagnes sur le thème de la mobilité, les notifications d’itinéraire, les mises à jour d’abonnement et les messages de vérification d’application doivent être examinés avec une vigilance particulière.

L’incident est daté du 6 mai 2025 et le nombre de comptes de messagerie concernés est indiqué comme étant de 472 296. Les journaux de sécurité indiquent que les données ont été recueillies par l’intermédiaire d’une interface de la plateforme. Les champs exposés comprennent la date de naissance, l’adresse e-mail, le nom, le numéro de téléphone et la photo de profil. Ces champs étant cohérents avec la fiche existante, son statut vérifié est maintenu.

Pour comprendre le périmètre de l’incident, il ne faut pas supposer que tous les champs sont présents dans chaque ligne. Certaines entrées peuvent ne pas comporter de photo de profil ou de coordonnées téléphoniques. Par ailleurs, cela ne signifie pas que des systèmes de paiement ou des mots de passe en clair ont fait l’objet d’une fuite. Le risque réel pour l’utilisateur réside dans une possible utilisation abusive de ses coordonnées personnelles et des informations de profil liées à son compte de mobilité.

Les utilisateurs à risque sont ceux qui ont ouvert un compte Ualabee, utilisé des services de mobilité ou partagé leur numéro de téléphone ou des informations de profil. Comme les applications de transport utilisées au quotidien peuvent générer des messages en lien étroit avec les habitudes de l’utilisateur, de faux messages concernant un itinéraire, un billet, un abonnement, une notification ou une campagne peuvent sembler plus convaincants.

Les utilisateurs dont la date de naissance et la photo de profil figurent dans les données doivent également être vigilants : des attaquants pourraient créer de faux comptes, deviner les réponses aux questions de vérification d’identité ou recouper ces données avec des profils sur les réseaux sociaux. Si le numéro de téléphone est à jour, le risque ne se limite pas aux e-mails : l’utilisateur peut aussi être ciblé par SMS et par téléphone.

Les utilisateurs pour lesquels une correspondance est trouvée doivent vérifier qu’ils utilisent un mot de passe unique pour leur compte Ualabee et le changer s’ils l’ont également utilisé pour d’autres comptes. Même si aucun mot de passe ne figure dans le jeu de données, l’adresse e-mail peut être recoupée avec d’autres ensembles de données. Si la date de naissance est utilisée dans les questions de récupération du compte, ces questions doivent être mises à jour.

Plutôt que d’ouvrir directement les liens reçus, connectez-vous au service concerné par son adresse web habituelle ou son application. Le fait qu’une personne qui vous appelle connaisse votre nom, votre adresse e-mail, votre adresse postale ou des informations sur des transactions passées ne prouve pas qu’elle est digne de confiance. Ne communiquez aucun code de vérification à usage unique, aucune information de carte de paiement ni aucun mot de passe de compte lors d’un échange avec un service d’assistance.

À long terme, l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs sur les comptes qui le permettent, ainsi que l’habitude de supprimer les informations personnelles inutiles des comptes, réduisent les risques. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de plusieurs fuites; il peut donc être utile d’envisager des adresses e-mail distinctes ou des alias pour les comptes critiques.

Comme les champs tels que la photo de profil et la date de naissance ne changent pas au fil du temps, les conséquences de cet incident ne doivent pas être considérées comme limitées au court terme. Les utilisateurs doivent réduire les informations de profil inutilement accessibles au public sur les réseaux sociaux et leurs comptes de mobilité, et activer des protections supplémentaires sur les services auxquels ils se connectent avec un numéro de téléphone.

La vérification LeakData indique si l’adresse e-mail recherchée figure ou non dans ce jeu de données. Un résultat positif ne signifie pas nécessairement que tous les champs de données appartiennent avec certitude à cet utilisateur; il doit toutefois être considéré comme un signal suffisant pour prendre des précautions. Un résultat négatif indique uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données et n’exclut pas une présence dans d’autres fuites.

En cas de résultat positif, l’utilisateur doit se montrer particulièrement vigilant face aux messages sur les thèmes de la mobilité, des transports, des campagnes et de la vérification d’application. Si l’adresse e-mail n’apparaît pas, aucune correspondance n’a été trouvée pour ce jeu de données précis; toutefois, comme le même numéro de téléphone ou la même adresse e-mail peut être concerné par d’autres violations de données, une surveillance régulière reste nécessaire.