Fuite de données chez Verifications.io

Les catégories de données dont l’exposition a été confirmée dans l’incident Verifications.io comprennent les dates de naissance, les adresses e-mail, les informations sur l’employeur, le genre, les localisations géographiques, les adresses IP, les intitulés de poste, les prénoms et noms, les numéros de téléphone et les adresses physiques. Ces champs ne donnent pas, à eux seuls, un accès direct comparable à celui que permettent les mots de passe des comptes. Toutefois, leur utilisation conjointe augmente les risques d’ingénierie sociale élaborée, d’hameçonnage ciblé, de spam, d’escroqueries téléphoniques et d’usurpation d’identité en contexte professionnel. En particulier, la présence du nom, du poste, de l’employeur, de l’adresse e-mail et du numéro de téléphone dans un même profil permet aux attaquants de rédiger des messages plus convaincants.

Dans cet ensemble de données, les mots de passe ne font pas partie des données dont la fuite a été confirmée. Cette distinction est importante : les premières mesures à prendre ne se limitent pas à changer de mot de passe. Il faut aussi se méfier des fausses offres, des faux services d’assistance, des fausses factures et des tentatives de fraude liées au travail qui peuvent exploiter les informations personnelles et professionnelles. Des champs comme la date de naissance et l’adresse physique peuvent servir d’indices utiles pour répondre aux questions de vérification d’identité ou suivre les procédures d’assistance de certains services. Le numéro de téléphone peut, quant à lui, faciliter les escroqueries par appel vocal ou par SMS.

Les adresses IP et les informations de localisation géographique peuvent aider à déterminer la région approximative de l’utilisateur ou le fournisseur d’accès à Internet associé à sa connexion. Ces informations ne constituent pas, à elles seules, des données de localisation précise, mais leur rapprochement avec le nom et les informations professionnelles peut servir à enrichir un profil. La présence d’adresses e-mail dans les données de services de vérification laisse penser qu’elles peuvent être considérées comme actives et utilisables à des fins marketing. Il est donc probable qu’une augmentation du spam et des e-mails ciblés soit observée après une fuite.

Les éléments confirmés sont les suivants : l’exposition des données de Verifications.io, révélée le 25 février 2019, a touché 763 117 241 comptes uniques; l’incident a été ajouté aux registres de fuites de données confirmées le 9 mars 2019; les catégories de données se limitent aux champs personnels et professionnels énumérés ci-dessus. L’incident doit être évalué dans le contexte de la vérification des adresses e-mail et des données marketing. Une grande partie des données pourrait provenir non pas directement d’utilisateurs ayant sciemment créé un compte Verifications.io, mais de la vérification et du traitement de listes collectées dans le cadre de différentes activités marketing.

La présence d’une adresse e-mail dans les résultats associés à Verifications.io ne prouve donc pas que son utilisateur était inscrit à ce service ou entretenait une relation client directe avec Verifications.io. L’interprétation la plus juste est que l’adresse concernée figurait dans des ensembles de données marketing ou de vérification et qu’elle a pu être exposée avec des informations personnelles. Cette limite influe aussi sur les conseils à donner à l’utilisateur : outre la récupération de compte centrée sur le mot de passe, il faut prendre en compte les risques d’utilisation abusive des informations personnelles et de communications ciblées.

Les champs exposés répertoriés dans cette fiche ne comprennent ni mots de passe, ni données de cartes de paiement, ni numéros d’identification officiels. Néanmoins, le très grand nombre d’enregistrements et le regroupement des champs de profil rendent la situation critique. Une évaluation erronée pourrait réduire cet incident à une simple liste d’adresses e-mail; une évaluation trop large conduirait à des affirmations non vérifiées concernant des mots de passe ou des données financières. La bonne approche consiste à s’appuyer sur les champs confirmés et à proposer à l’utilisateur des mesures de sécurité claires, concrètes et proportionnées.

Le principal groupe à risque est constitué des utilisateurs dont l’adresse e-mail professionnelle ou personnelle figure dans des listes marketing. Les services de vérification d’adresses e-mail comme Verifications.io traitent souvent des listes de campagnes provenant de différentes entreprises; il est donc normal qu’une personne concernée ne connaisse pas ce service. Même si l’utilisateur pense n’avoir jamais interagi avec le domaine en question, son adresse e-mail peut avoir figuré dans des listes de tiers. Ce point est particulièrement important pour les personnes présentes dans des listes de campagnes, de ventes, d’événements, de newsletters ou de prospects.

Le deuxième groupe à risque comprend les salariés dont les informations professionnelles ont été exposées avec leurs coordonnées personnelles. Le prénom, le nom, l’employeur, l’intitulé de poste, le numéro de téléphone et l’adresse e-mail fournissent aux attaquants un contexte solide pour mener des attaques ciblées en entreprise. Les personnes travaillant dans la finance, les ressources humaines, les achats, l’assistance, les ventes et les équipes de direction doivent se montrer particulièrement vigilantes face aux fausses factures, aux faux fournisseurs, aux fausses demandes de dirigeants ou aux invitations à des réunions. Cet incident ne prouve pas que les systèmes des entreprises ont été compromis; il peut toutefois faciliter le ciblage de leurs salariés.

Le troisième groupe à risque comprend les personnes dont l’adresse physique, la date de naissance ou le numéro de téléphone correspondent aux données exposées. Ces informations ne prouvent pas, à elles seules, une usurpation d’identité; elles permettent toutefois aux escrocs de donner plus facilement l’impression qu’ils connaissent la personne. Les messages qui s’adressent à l’utilisateur par son nom ou évoquent son lieu de résidence ou de travail peuvent paraître plus convaincants. Les personnes concernées doivent donc examiner attentivement non seulement les messages de leur boîte e-mail, mais aussi les appels téléphoniques, les SMS et les demandes de mise en relation sur les réseaux sociaux.

Si vos données correspondent à celles de cet incident, faites preuve de prudence face aux demandes inattendues reçues par e-mail ou par téléphone. Aucune fuite de mots de passe n’ayant été confirmée, la priorité est de repérer les pièges : incitations à cliquer sur des liens, faux paiements, faux services d’assistance, fausses offres d’emploi et demandes visant à compléter vos informations personnelles. Plutôt que de cliquer sur les liens des e-mails, saisissez vous-même l’adresse de l’organisme concerné dans votre navigateur. Vérifiez l’identité de l’expéditeur par un autre canal avant d’ouvrir les pièces jointes et examinez attentivement les formulaires qui demandent des informations personnelles.

La deuxième étape consiste à vérifier les paramètres de sécurité de vos comptes importants. Activez l’authentification multifacteur pour vos comptes e-mail, bancaires, d’achats en ligne, de réseaux sociaux et vos outils professionnels. Dans le cas de Verifications.io, même si la présence de mots de passe dans la fuite n’a pas été confirmée, les attaquants pourraient utiliser des informations personnelles pour se montrer convaincants lors d’une réinitialisation de mot de passe ou d’un échange avec l’assistance clientèle. Vérifiez donc les adresses e-mail et les numéros de téléphone de récupération, les sessions ouvertes et les connexions récentes.

La troisième étape consiste à surveiller le spam et les messages marketing. Une augmentation des messages indésirables envoyés aux adresses e-mail touchées par cet incident n’a rien de surprenant. Ne cliquez pas sans discernement sur les liens de désabonnement de campagnes suspectes; utilisez plutôt les fonctions de signalement du spam et de blocage de logiciels de messagerie fiables. En entreprise, vous pouvez vérifier si un grand nombre de salariés utilisant le même domaine sont concernés, puis donner la priorité à des mesures comme l’envoi d’une alerte de sensibilisation et les simulations d’hameçonnage.

La quatrième étape consiste à conserver des traces des éventuelles utilisations abusives de vos informations personnelles. Notez les appels suspects, les demandes liées à de fausses factures, les notifications de compte inattendues et les tentatives d’authentification, avec leurs dates. Ces informations sont utiles tant pour le suivi de votre sécurité personnelle que pour la réponse aux incidents en interne. Si votre adresse physique et votre numéro de téléphone sont visibles, soyez plus vigilant face aux changements inattendus signalés dans les notifications relatives aux livraisons, aux abonnements, aux services financiers et aux services publics.

La fuite de Verifications.io montre que les données des utilisateurs peuvent se trouver dans des services avec lesquels ils n’ont aucune relation directe. Pour se protéger à long terme, il est efficace de séparer les adresses e-mail selon leur usage, d’utiliser des adresses uniques ou des alias pour les comptes importants et de limiter les autorisations marketing inutiles. Éviter de communiquer son numéro de téléphone personnel et son adresse dans chaque formulaire réduit le degré de complétude des profils dans d’éventuels futurs ensembles de données. Cette approche limite le risque qu’un seul incident ait des répercussions sur l’ensemble de l’identité numérique.

Pour les organisations, une stratégie durable consiste à surveiller régulièrement la présence des adresses e-mail des salariés dans des fuites de données externes et à évaluer les résultats au regard des risques pour l’activité. Les équipes marketing, commerciales et d’assistance peuvent naturellement figurer dans davantage de listes externes, ce qui les rend plus visibles pour les auteurs de fraudes ciblées. Les entreprises devraient étendre la couverture de la MFA, vérifier les approbations de transactions financières par un second canal et formaliser par écrit les procédures de changement de fournisseur et de demande de paiement.

La minimisation des données est également l’un des enseignements importants de cet incident. Les entreprises ne devraient pas collecter de champs personnels dont elles n’ont pas besoin dans leurs listes de prospects et de marketing. Elles devraient limiter les durées de conservation et auditer régulièrement les services tiers de traitement des données. Pour les utilisateurs, il convient de combiner des vérifications régulières de la présence de leurs données dans des fuites, des filtres antispam, des notifications de sécurité et des habitudes de partage réfléchies. Même s’il est impossible d’empêcher totalement les fuites de données marketing à grande échelle, ces mesures peuvent en réduire les conséquences.

Si votre adresse e-mail apparaît dans la fuite de données de Verifications.io, n’en déduisez pas que vous vous êtes sciemment inscrit au service concerné. Ce résultat indique que votre adresse e-mail et certaines informations personnelles ou professionnelles ont pu figurer dans des données de vérification marketing. La priorité est de comprendre quels champs sont apparus et de vous préparer à recevoir des messages pouvant résulter de leur utilisation abusive.

Si vous utilisez une adresse e-mail personnelle, méfiez-vous du spam, des faux services d’assistance et des faux messages de campagne marketing. Dans un contexte professionnel, surveillez les tentatives de fraude ciblées envoyées au domaine de l’entreprise. Même si aucune fuite de mots de passe n’a été confirmée, l’utilisation de la MFA sur vos comptes importants et la vérification de leurs paramètres de sécurité restent de bonnes mesures de protection. La vérification régulière des enregistrements permet de savoir si une même adresse e-mail apparaît dans différentes fuites et de déterminer quelle mesure de sécurité prendre en priorité.