Fuite de données de VIPOferta en 2021

Lorsque l’on examine ensemble les champs visibles dans la fiche VIPOferta, le risque ne tient pas à un seul type de données. La présence d’adresses e-mail, de noms d’utilisateur, d’adresses IP, d’informations sur le hachage des mots de passe, de sels de mots de passe et de données de mots de passe au sein d’un même profil utilisateur peut permettre aux attaquants de préparer des messages plus personnalisés et plus convaincants. Les coordonnées ou identifiants de compte ou de profil vérifiés qui figurent dans les enregistrements augmentent le risque d’ingénierie sociale et de rapprochement entre profils. Le contexte supplémentaire relatif aux comptes peut aider à donner aux messages frauduleux l’apparence de communications légitimes du service.

Les principaux risques mis en avant dans cet incident sont l’hameçonnage, la prise de contrôle de comptes et l’ingénierie sociale. Les attaquants peuvent combiner les champs des enregistrements pour préparer de fausses alertes concernant les comptes, des messages de réinitialisation de mot de passe, de renouvellement d’adhésion, des notifications d’assistance ou des demandes de vérification de sécurité. L’utilisation de détails de compte qui figurent réellement dans les enregistrements peut réduire la vigilance de l’utilisateur. Ainsi, même si un enregistrement ne contient pas de mot de passe, le risque de rapprochement entre profils et de fraude ciblée demeure. Si un champ de mot de passe est présent, le risque augmente encore, car le même mot de passe, ou un mot de passe similaire, peut être essayé sur d’autres services.

Pour les utilisateurs de VIPOferta, la première étape consiste à comparer les champs de cette fiche à leurs propres habitudes d’utilisation des comptes. Si les mêmes informations vérifiées de compte ou de contact ont été utilisées sur d’autres services, les messages reçus doivent être évalués en tenant compte de l’ensemble de l’identité numérique. Si le même nom d’utilisateur est également utilisé sur des réseaux sociaux, des plateformes de jeux, des forums ou des comptes liés à l’éducation, aux voyages ou aux achats, le risque de rapprochement entre profils augmente. Les utilisateurs ne doivent pas cliquer directement sur des liens inattendus. Ils doivent vérifier les opérations effectuées sur leurs comptes en passant par des domaines qu’ils reconnaissent, adopter des mots de passe uniques pour les comptes sur lesquels ils réutilisent le même mot de passe et activer l’authentification multifacteur partout où cela est possible. Lorsque les enregistrements contiennent des informations sur le hachage des mots de passe, il convient également de revoir les schémas utilisés pour créer les anciens mots de passe. Il faut privilégier des mots de passe longs et entièrement uniques plutôt que de simples changements de quelques caractères.

Pour les organisations, un enregistrement VIPOferta est important pour comprendre dans quel contexte de données les adresses e-mail ou les comptes personnels des employés apparaissent sur des services externes. Si un employé a utilisé son adresse e-mail professionnelle sur de tels services, les attaquants peuvent reprendre ces informations dans des messages imitant des demandes d’assistance, des notifications de facture, des vérifications de compte ou des communications internes. Les équipes de sécurité doivent surveiller non seulement les fuites contenant des mots de passe, mais aussi les champs vérifiés de l’enregistrement relatifs à l’identité, aux comptes, aux communications et au contexte d’utilisation, en tant que sources de risque d’ingénierie sociale.

La fiche consacrée à la fuite de données de VIPOferta se limite donc aux champs dont la présence est étayée, mais elle mérite une attention particulière en raison de ses implications pour la sécurité. Pour les utilisateurs, la démarche la plus appropriée consiste à vérifier les liens reçus par un canal indépendant, à mettre à jour les options de récupération des comptes, à contrôler les autres comptes sur lesquels les mêmes informations sont utilisées et à éviter d’approuver dans la précipitation des demandes inattendues de vérification ou de paiement. Cette page a été mise à jour afin que les utilisateurs qui recherchent des informations sur les fuites de données de VIPOferta puissent comprendre, sans exagération, le nombre d’enregistrements, les champs de données concernés et les mesures de protection prioritaires.

Cette vérification finale de la fiche VIPOferta vise à garantir que la liste des champs de données reste cohérente avec la description visible par l’utilisateur. La personne qui effectue la recherche ne doit voir sur cette page que les types de données dont la présence est étayée. Aucune affirmation supplémentaire concernant d’autres champs ne doit être ajoutée dans le seul but de faire paraître le risque plus important. Cette approche aide les particuliers à choisir la mesure de sécurité adaptée et permet aux organisations de déterminer quelles données de leurs employés peuvent réellement être menacées. Le périmètre actuel des catégories de données se limite aux champs suivants : adresses e-mail, noms d’utilisateur, adresses IP, métadonnées de hachage des mots de passe, sels de mots de passe, mots de passe.