Fuite de données chez Young Living Essential Oils

Les types de données répertoriés pour cet incident sont les suivants : dates de naissance, adresses e-mail, données de localisation géographique et noms. Les champs relatifs à la date de naissance et au pays peuvent servir à cibler des messages liés à l'adhésion ou aux réseaux de vente. La présence simultanée de ces champs peut aider des attaquants à préparer de faux relevés de compte, des fraudes, des rapprochements d'identités ou des tentatives ciblées d'ingénierie sociale.

Aucun champ de mot de passe n'est répertorié dans cette fiche; le risque découle de la présence conjointe de données d'identité et de données démographiques. L'absence de mot de passe ne fait pas disparaître tout risque : une adresse, un numéro de téléphone, une date de naissance, des informations sur un appareil, un profil professionnel, un programme de fidélité, une activité en ligne ou des achats peuvent également suffire à vous cibler. Si un mot de passe est présent, vous devez vérifier de toute urgence s'il a été réutilisé sur d'autres services.

La fuite porte sur environ 1,13 million d'adresses e-mail uniques associées au domaine youngliving.com. L'incident relève de la catégorie des fuites de données vérifiées. Son périmètre a été établi en comparant le domaine, le contexte de l'entreprise, le pays, le secteur d'activité, le nombre de comptes et les catégories de données. Les champs qui vous sont présentés se limitent à ceux répertoriés dans la fuite.

La réponse de l'entreprise étant limitée, la présentation se borne aux champs de données, sans ajouter de détails techniques qui n'ont pas été définitivement établis. Dans certains cas, la vérification par l'entreprise peut être limitée, ou le jeu de données peut avoir été diffusé dans des environnements tiers. Ici, la présentation se concentre sur les champs qui permettent d'évaluer votre risque réel, sans extrapoler sur les éléments incertains.

Les membres de Young Living, les personnes disposant d'un compte client ou de vendeur indépendant et les utilisateurs dont la date de naissance a été exposée sont à risque. Pour ces utilisateurs, le principal risque tient au rapprochement des champs divulgués avec des informations couramment utilisées sur d'autres plateformes. Si la même adresse e-mail, le même numéro de téléphone, le même nom d'utilisateur, la même adresse, le même profil sur les réseaux sociaux ou le même mot de passe sont réutilisés sur différents comptes, la surface d'attaque augmente.

Le contexte du bien-être et des réseaux de vente peut être exploité dans de faux messages concernant une adhésion, une commande, une commission, une campagne ou une vérification de compte. Les jeux vidéo, le commerce de détail, les paiements, les profils sur les réseaux sociaux, les voyages, les investissements, les compagnies aériennes et la santé et le bien-être présentent des risques différents. Vous devez examiner non seulement la liste des domaines, mais aussi les comptes ou services auxquels ils sont associés.

Si vous êtes concerné, vous devez contrôler la sécurité de votre messagerie et vérifier les messages relatifs aux adhésions et aux commandes par le canal officiel. Si un mot de passe ou un champ assimilable à un mot de passe est répertorié, vous devez le modifier sur tous les comptes où vous utilisez le même mot de passe ou un mot de passe similaire, utiliser un mot de passe unique et activer l'authentification multifacteur lorsque cela est possible. Votre compte de messagerie doit également être protégé.

Si des champs tels que l'adresse, le numéro de téléphone, la date de naissance, l'appareil, le profil professionnel, les achats ou le programme de fidélité sont présents, vous devez vérifier les options de récupération des comptes, l'historique des sessions, les règles de transfert des e-mails et les messages suspects. Les demandes de vérification ou de documents reçues dans un contexte financier, de paiement ou lié à une compagnie aérienne doivent être confirmées par un second canal.

Limitez le partage inutile de votre date de naissance ou de votre pays dans les comptes liés au bien-être et aux réseaux de vente. À long terme, l'utilisation d'un gestionnaire de mots de passe, de mots de passe uniques et de l'authentification multifacteur, ainsi que la fermeture des anciens comptes et la suppression des champs de profil inutiles, constituent les bases de la protection. Les données personnelles permanentes ne pouvant pas être récupérées, vous devez renforcer vos pratiques de sécurité et les paramètres de vos comptes.

Les organisations doivent régulièrement auditer la minimisation des données, la durée de conservation des anciens dossiers clients, les autorisations des comptes de forums et de communautés, les champs des programmes de fidélité et les procédures de signalement des incidents. De votre côté, éviter de réutiliser partout les mêmes informations d'identité réduit durablement le risque.

Si vos données correspondent à cette fiche, vous devez vérifier les comptes liés au bien-être, aux achats et aux réseaux de vente pour lesquels vous utilisez la même adresse e-mail. Si une correspondance est trouvée, consultez les champs de données répertoriés et définissez vos priorités en conséquence. Si un mot de passe est présent, sa modification est prioritaire; s'il y a une adresse ou un numéro de téléphone, l'alerte à la fraude est prioritaire; s'il y a des informations financières ou de paiement, la surveillance des comptes est prioritaire; s'il y a un profil sur les réseaux sociaux, la vérification des paramètres de confidentialité est prioritaire.

Bilan : bien que cette fiche ne contienne pas de mot de passe, il s'agit d'un incident portant sur des données personnelles sensibles en raison des champs relatifs à la date de naissance et à la localisation. Vous devez comparer cette fiche à l'historique de vos comptes et vérifier séparément les services sur lesquels vous avez utilisé la même adresse e-mail, le même numéro de téléphone, le même nom d'utilisateur, la même adresse ou le même mot de passe. Après cet incident, les appels, e-mails, messages ou notifications de récupération de compte suspects doivent être considérés comme présentant un risque accru.