Fuite de données chez Vastaamo

Les données divulguées à partir de la plateforme Vastaamo présentent divers risques pour les utilisateurs. Même utilisées isolément, ces informations peuvent créer de graves failles de sécurité. Le véritable danger réside toutefois dans la possibilité de les combiner pour élaborer des scénarios d’attaque plus complexes. Par exemple, un cybercriminel pourrait utiliser une adresse e-mail obtenue pour tromper l’utilisateur au moyen de techniques d’ingénierie sociale.

Dans ce type de violations de données, les informations obtenues se répartissent généralement dans les catégories suivantes :

• Adresses e-mail : Ces informations servent de base aux attaques de hameçonnage. Les attaquants tentent de tromper les utilisateurs en se faisant passer pour des organismes ou des personnes qu’ils connaissent.
• Noms : Associés aux adresses e-mail, ils facilitent les attaques ciblées.
• Données de santé personnelles : Il s’agit de l’un des types de données les plus sensibles. Elles peuvent être utilisées à des fins de chantage, de fraude pharmaceutique ciblée ou de fraude à l’assurance. Leur utilisation abusive peut avoir de profondes répercussions psychologiques et financières sur les personnes concernées.
• Numéros d’identification personnelle finlandais : Ces numéros permettent d’identifier les personnes en Finlande. Leur exposition peut faciliter l’usurpation d’identité et la fraude, en particulier lorsqu’un service se fonde uniquement sur un numéro d’identification pour identifier une personne.

L’évaluation de la fiche Vastaamo doit reposer sur les catégories de données recensées, plutôt que sur des hypothèses non vérifiées concernant la méthode d’attaque. Les champs vérifiés correspondent aux adresses e-mail, aux noms complets, aux données de santé personnelles et aux numéros d’identification personnelle finlandais. Ce périmètre doit être examiné sous l’angle de la prise de contrôle de comptes, de l’hameçonnage, du rapprochement de profils, des courriers indésirables, de la fraude, des atteintes à la vie privée et des conséquences pour la sécurité des utilisateurs. Les détails non confirmés ne doivent pas être présentés comme des éléments vérifiés de l’incident.

Lors de cet incident survenu en mars 2019, les informations d’environ trente mille utilisateurs ont été volées. Les données divulguées comprenaient des informations critiques, telles que les adresses e-mail, les noms, les informations de santé personnelles et les numéros d’identification personnelle finlandais. Les champs de données décrits dans cette fiche ne permettent pas d’établir la cause technique de la violation. Il ne faut pas en déduire une vulnérabilité ou une méthode d’attaque particulière sur la seule base de ces champs.

Pour les utilisateurs qui emploient les mêmes identifiants de connexion sur différentes plateformes, cette violation de données représente une situation particulièrement dangereuse. En effet, si les identifiants d’un compte sur une plateforme sont compromis, tous les autres comptes utilisant les mêmes identifiants sont également exposés à un risque. Il est donc essentiel de mettre à jour les mesures de sécurité et d’utiliser des identifiants d’accès robustes et uniques. Une surveillance régulière de l’activité des comptes permet également de détecter rapidement les situations inhabituelles.

Parmi les utilisateurs touchés par ce type de violation de données, les personnes qui n’accordent pas suffisamment d’attention à la sécurité numérique ou ne mettent pas régulièrement à jour leurs mesures de sécurité courent un risque plus élevé. En particulier, le fait d’avoir partagé des informations de santé personnelles sensibles sur une plateforme rend ces utilisateurs plus vulnérables à des menaces secondaires, comme l’hameçonnage et le chantage. Par exemple, un attaquant qui connaît l’état de santé d’une personne peut utiliser cette information pour lui envoyer des e-mails frauduleux plus convaincants.

Le fait que la plateforme soit consacrée à la psychothérapie renforce encore le caractère sensible des données divulguées. Cette situation peut causer aux utilisateurs des préjudices importants, tant sur le plan financier que sur celui de leur réputation. La divulgation publique d’informations de santé personnelles peut avoir de graves conséquences sur la vie sociale et professionnelle des personnes concernées. Des normes de sécurité des données très élevées sont donc attendues de telles plateformes.

Face à une situation comme la violation de données de Vastaamo, les personnes concernées doivent prendre certaines mesures urgentes au plus vite. Ces démarches sont nécessaires pour prévenir de nouvelles utilisations abusives des informations personnelles et renforcer la sécurité numérique :

1. Vérification de la sécurité des comptes : Commencez par modifier immédiatement les identifiants de connexion de votre compte Vastaamo. Cette mesure ne suffit toutefois pas à elle seule. Si vous utilisez les mêmes identifiants sur d’autres plateformes, il est indispensable d’y modifier également tous les identifiants d’accès à vos comptes. Créez pour chaque compte des identifiants d’accès robustes et uniques, d’au moins 12 caractères, combinant lettres, chiffres et caractères spéciaux.
2. Activation de l’authentification à deux facteurs (2FA) : Pour renforcer votre sécurité, activez l’authentification à deux facteurs sur tous les comptes qui le permettent. Cela empêche l’accès non autorisé à votre compte, même si vos identifiants de connexion sont volés. Cette méthode utilise généralement des codes envoyés sur votre téléphone mobile ou fournis par une application d’authentification.
3. Vérification selon le périmètre confirmé : Évaluez les risques pour la sécurité des comptes, ainsi que les risques d’hameçonnage, de courriers indésirables et de rapprochement de profils, au regard des adresses e-mail, des noms complets, des données de santé personnelles et des numéros d’identification personnelle finlandais figurant dans les données recensées pour Vastaamo. Maintenez les alertes de sécurité activées pour les tentatives de connexion inattendues, les fausses notifications et les messages demandant des informations personnelles.
4. Examen des informations personnelles : Vérifiez les paramètres de confidentialité de vos profils sur les réseaux sociaux et les autres plateformes en ligne. Examinez quelle part des informations que vous partagez est accessible au public et supprimez les informations inutiles.
5. Vigilance face aux communications suspectes : Faites preuve de vigilance face aux messages suspects reçus par e-mail, SMS ou téléphone. Ne répondez jamais aux messages qui vous demandent des informations personnelles ou cherchent à vous faire agir dans l’urgence.

Les mesures d’urgence ne suffisent pas à elles seules; il est tout aussi important de développer des stratégies à long terme pour assurer durablement la sécurité numérique. Les outils de gestion des identifiants d’accès vous aident à créer des identifiants robustes et uniques pour différentes plateformes et à les conserver en toute sécurité. Ces outils renforcent la sécurité et simplifient l’utilisation des services en vous évitant d’avoir à mémoriser des identifiants complexes. Ils facilitent ainsi la création et la gestion régulières de nouveaux identifiants d’accès.

Les audits de sécurité et les mises à jour régulières figurent parmi les moyens les plus efficaces de corriger les vulnérabilités potentielles de vos systèmes. Maintenir vos logiciels et vos systèmes d’exploitation à jour empêche l’exploitation de failles de sécurité connues. Participer à des formations de sensibilisation à la cybersécurité permet également de rester informé des dernières menaces. Adopter le principe de minimisation des données et ne partager avec les plateformes que les informations réellement nécessaires réduit aussi les risques à long terme. Éviter d’ouvrir inutilement des comptes sur de nombreuses plateformes limite la surface d’attaque potentielle.

L’évaluation de la fiche Vastaamo doit reposer sur les catégories de données recensées, plutôt que sur des hypothèses non vérifiées concernant la méthode d’attaque. Les champs vérifiés correspondent aux adresses e-mail, aux noms et prénoms, aux données de santé personnelles et aux numéros d’identification personnelle finlandais. Ce périmètre doit être examiné sous l’angle de la prise de contrôle de comptes, de l’hameçonnage, du rapprochement de profils, des courriers indésirables, de la fraude, des atteintes à la vie privée et des conséquences pour la sécurité des utilisateurs. Les détails non confirmés ne doivent pas être présentés comme des éléments confirmés de l’incident.

Évaluation complémentaire de la fiche Vastaamo : La fiche Vastaamo relève de l’une des catégories présentant les risques les plus élevés parmi les fiches signalées comme sensibles; elle comprend des adresses e-mail, des noms, des données de santé personnelles et des numéros d’identification personnelle finlandais. Ces catégories de données présentent des risques directs d’atteinte à la vie privée, d’usurpation d’identité et de harcèlement ciblé. Même si aucun champ d’identifiants de connexion n’est répertorié, la combinaison de données de santé et de numéros d’identification officiels peut avoir des conséquences très graves pour l’utilisateur.

Les personnes qui constatent une correspondance lors d’une recherche dans les données de la violation de Vastaamo ne doivent pas répondre aux menaces ou aux demandes de paiement reçues. Elles doivent conserver les preuves et agir uniquement par l’intermédiaire de canaux d’assistance officiels, de services juridiques ou de conseillers de confiance. Il est important de surveiller toute utilisation abusive de l’identité lorsque les données comprennent des numéros d’identification personnelle finlandais. Les messages reçus par e-mail concernant la santé, les rendez-vous, les assurances ou les paiements ne doivent pas être ouverts sans vérification par un second canal.

Pour des fiches recensant des données de santé aussi sensibles, l’objectif n’est pas de paniquer, mais de limiter les préjudices et de protéger la sécurité des personnes. Les utilisateurs doivent sécuriser leurs comptes de messagerie, surveiller les services accessibles avec leur numéro d’identification officiel et ne pas agir seuls face à des messages menaçant leur vie privée. La fiche Vastaamo doit être traitée avec une prudence bien plus grande qu’une violation de compte ordinaire, compte tenu des catégories de données concernées.

Périmètre des données vérifiées :

Les champs vérifiés pour la fiche Vastaamo se limitent aux adresses e-mail, aux noms complets, aux données de santé personnelles et aux numéros d’identification personnelle finlandais. L’évaluation doit donc se concentrer sur les risques associés aux adresses e-mail, aux noms, aux données de santé personnelles et aux numéros d’identification personnelle finlandais, sans supposer que les identifiants de connexion aux comptes ont été exposés.