Fuite de données chez WeLeakInfo

Dans cet incident, des informations permettant d’établir des liens avec une identité, comme l’adresse e-mail, le nom complet, l’adresse postale et l’adresse IP, ont été divulguées avec l’historique des paiements et des données partielles de carte bancaire. Ces données partielles ne correspondent ni au numéro complet de la carte ni à l’ensemble de ses éléments de sécurité. Toutefois, lorsqu’elles sont associées à l’historique des paiements, au nom et à l’adresse, elles augmentent le risque d’ingénierie sociale et de fraude. Les informations sur l’agent utilisateur du navigateur peuvent également fournir des indices supplémentaires sur l’appareil, le navigateur ou le système d’exploitation utilisé.

En raison de la nature du service WeLeakInfo, le risque ne se limite pas à l’usurpation d’identité classique. Les personnes qui paient pour ce service et sont associées à ce service de recherche dans des données volées peuvent subir des atteintes à leur vie privée et à leur réputation, des pressions ciblées et des tentatives d’extorsion. La présence d’informations sur l’employeur ou l’établissement peut révéler des liens professionnels pour les personnes qui utilisent une adresse e-mail d’entreprise. L’incident ne doit donc pas être considéré comme une simple liste contenant peu de comptes, mais comme une fuite touchant des informations sensibles de paiement et d’identité.

La date vérifiée de l’incident doit rester le 8 mars 2021, et la date vérifiée de son inscription au catalogue le 15 mars 2021. Les recherches de comptes couvrent 11 788 enregistrements uniques. Bien que des articles de presse évoquent environ 24 000 clients ou des chiffres plus larges concernant les archives de paiement, le périmètre des correspondances sur LeakData reste fondé sur des comptes e-mail uniques. Les nombres de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident.

Les catégories de données vérifiées sont les informations sur l’agent utilisateur du navigateur, les adresses e-mail, les informations sur l’employeur ou l’établissement, les adresses IP, les noms complets, les données partielles de carte bancaire, les adresses postales et les informations d’achat. Les mots de passe, les empreintes de mots de passe, les numéros complets de carte bancaire, les codes de sécurité des cartes, les numéros de compte bancaire et les numéros de pièces d’identité officielles ne doivent pas figurer parmi les champs vérifiés utilisés pour la recherche de comptes dans cet incident. Bien que WeLeakInfo permette de rechercher des données provenant d’autres violations de données, cet incident est une fuite de données concernant les propres clients payants du service.

Le risque est le plus élevé pour les personnes qui effectuent des paiements auprès de WeLeakInfo et utilisent la même adresse e-mail pour leur travail, leurs comptes personnels ou d’autres services sensibles. En combinant l’adresse e-mail, le nom complet, l’adresse postale et les informations d’achat, il est possible de déduire à quel service une personne est associée. Cela rend les messages d’hameçonnage plus convaincants et peut conduire à un ciblage fondé sur ses habitudes de paiement passées. Pour les personnes qui utilisent une adresse e-mail sur le domaine de leur entreprise, la divulgation des informations sur l’employeur crée un risque supplémentaire pour leur réputation.

Les données partielles de carte bancaire ne suffisent pas, à elles seules, à donner un accès complet aux moyens financiers. Toutefois, des détails comme les derniers chiffres de la carte, la date du paiement ou le montant de l’achat peuvent servir à étayer une fraude. Un attaquant peut tenter de se faire passer pour la banque, le prestataire de traitement des paiements ou un service précédemment utilisé. Les adresses postales et les adresses IP peuvent servir de moyens de pression dans des questions de vérification d’identité ou des messages de menace. Les personnes pour lesquelles une correspondance est détectée doivent donc vérifier à la fois leurs opérations financières et la sécurité de leur messagerie.

Si une correspondance est détectée pour votre adresse e-mail, vérifiez d’abord si votre compte de messagerie présente des connexions suspectes, des messages inattendus de réinitialisation de mot de passe, des appareils que vous ne reconnaissez pas ou des règles de transfert inconnues. Examinez les opérations effectuées avec votre carte bancaire et contactez l’émetteur de la carte en cas d’opérations inattendues ou de tentatives d’autorisation. Puisque seules des données partielles de carte sont exposées, vous ne devez pas en déduire que les informations complètes de la carte ont été compromises. Il reste néanmoins prudent de surveiller attentivement vos relevés de compte et les notifications de votre carte pendant quelque temps.

Méfiez-vous des messages qui utilisent le nom WeLeakInfo, d’anciennes informations de paiement, votre adresse ou votre historique d’achat. L’expéditeur peut chercher à vous mettre sous pression en invoquant un renouvellement de carte, une fermeture de compte, un remboursement, une suppression de preuves ou une menace juridique. Dans de tels messages, ne cliquez pas sur les liens, n’ouvrez pas les pièces jointes et n’acceptez pas les demandes de paiement. Si vous avez utilisé une adresse e-mail professionnelle, il convient d’en informer l’équipe de sécurité de votre organisation et de vérifier la protection par authentification multifacteur des comptes concernés.

À long terme, pour les services sensibles ou à haut risque, privilégiez une adresse e-mail distincte ou une solution de masquage d’adresse e-mail plutôt que votre adresse personnelle principale. Pour les paiements, gardez les notifications de carte activées et envisagez des outils comme les cartes virtuelles ou les cartes assorties de limites. Continuez à utiliser des mots de passe longs et uniques pour chaque compte et réduisez le risque lié à leur réutilisation à l’aide d’un gestionnaire de mots de passe. Même si aucun mot de passe ne figure dans les données vérifiées de cet incident, une authentification forte reste importante pour les autres services associés à la même adresse e-mail.

Du côté des entreprises, il convient de limiter autant que possible les inscriptions des employés à des services externes risqués ou sensibles avec leur adresse e-mail professionnelle, et de proposer des formations de sensibilisation aux fuites contenant des informations de paiement et d’achat. En tant qu’utilisateur, examinez régulièrement vos anciens comptes, résiliez les abonnements inutiles et privilégiez la minimisation des données pour les services qui conservent un historique de paiement. Dans les incidents impliquant des adresses postales et des informations d’entreprise, un simple changement de mot de passe ne doit pas être considéré comme suffisant : la protection de la vie privée, la surveillance des opérations financières et les risques d’usurpation d’identité doivent être pris en compte ensemble.

Si le résultat de la vérification est positif, cela signifie que l’adresse e-mail saisie figure dans le jeu de données vérifié concernant les clients payants de WeLeakInfo. Dans ce cas, l’adresse e-mail, le nom complet, l’adresse IP, l’adresse postale, les informations sur l’agent utilisateur du navigateur, les informations sur l’employeur ou l’établissement, les données partielles de carte bancaire et les informations d’achat doivent être considérés comme à risque. Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données précis; cela ne prouve pas que la personne n’a pas été concernée par d’autres violations de données.

Les mesures appropriées consistent à sécuriser votre compte de messagerie, à surveiller les opérations de votre carte bancaire, à ne pas répondre aux messages suspects, à informer le responsable de la sécurité de votre organisation si vous avez utilisé une adresse e-mail professionnelle et à commencer à utiliser une adresse e-mail distincte pour les services sensibles. L’incident WeLeakInfo doit être examiné sous l’angle financier comme sous celui de la vie privée, car il montre que les clients du service de recherche dans des données volées pouvaient eux aussi voir leurs propres informations de paiement et d’identité exposées à un risque.