Fuite « Vos données ont été collectées automatiquement » (You've Been Scraped)

Les catégories de données vérifiées sont les adresses e-mail, les employeurs, les localisations géographiques, les intitulés de poste, les noms et les profils sur les réseaux sociaux. Si une adresse e-mail personnelle peut être reliée à l’adresse professionnelle de la même personne, les attaquants peuvent déterminer à quelle organisation elle est rattachée, quelle fonction elle exerce et quels profils sont accessibles. La présence simultanée de ces informations crée un risque de ciblage plus élevé que celui du spam ordinaire, car le contenu des messages peut être personnalisé selon la fonction, l’entreprise, la localisation et le parcours professionnel.

La présence de mots de passe n’ayant pas été vérifiée, cet incident ne doit pas être considéré d’emblée comme une liste permettant de prendre le contrôle de comptes. Le risque augmente néanmoins lorsque l’adresse e-mail, l’employeur, l’intitulé de poste et les informations des profils sociaux sont recoupés avec des mots de passe ou des données téléphoniques provenant d’autres fuites. Les utilisateurs dont l’adresse de compte professionnel suit le même format que celle de leurs comptes personnels, qui publient des informations détaillées sur leurs fonctions internes ou qui laissent leurs relations professionnelles visibles publiquement peuvent recevoir des messages d’hameçonnage plus convaincants.

Le périmètre se limite à l’incident daté du 5 octobre 2018 et aux 66 147 869 comptes concernés. Le propriétaire du jeu de données n’ayant pas pu être vérifié, le champ du domaine est laissé vide et l’incident n’est pas présenté comme une intrusion directe dans les systèmes d’une entreprise précise. Les informations obtenues sont de même nature que celles compilées à partir de profils de réseaux sociaux professionnels. La description porte donc sur les catégories de données vérifiées et les conséquences pour les utilisateurs, plutôt que sur des références à des marques non confirmées.

Les mots de passe, les informations de paiement, les pièces d’identité officielles, les dates de naissance et les données de santé ne sont pas ajoutés à la liste des données vérifiées. Même si l’employeur, l’intitulé de poste et le lien vers un profil social ne présentent pas, à eux seuls, un risque aussi évident que les données financières, ce sont des informations durables qui peuvent servir à identifier et à cibler une personne. La fiche n’est donc pas marquée comme sensible, mais l’incident est considéré comme une fuite à fort impact en matière d’identité professionnelle et de fraude ciblée.

Le principal groupe à risque est constitué des utilisateurs dont les adresses e-mail professionnelles ou personnelles apparaissent aux côtés d’informations de profil professionnel. Pour les personnes travaillant dans les ressources humaines, la vente, la finance, la direction, les achats, les relations avec les médias ou les équipes techniques, ces informations peuvent faciliter une première prise de contact qui inspire confiance. Lorsque le nom de l’employeur, l’intitulé de poste et le lien vers le profil social d’une même personne sont réunis, une fausse invitation à une réunion, une offre, une facture, un contrat ou un message de recrutement peuvent paraître plus crédibles.

Pour les organisations, le risque ne se limite pas à la boîte de réception de l’utilisateur concerné. Les données de profils professionnels exposées peuvent aussi servir à estimer la répartition des fonctions en interne, à choisir des contacts dans la chaîne d’approvisionnement ou à rédiger des messages usurpant l’identité de collaborateurs occupant des postes à responsabilité. Ainsi, pendant que les personnes concernées protègent leurs propres comptes, les équipes de sécurité des entreprises devraient également examiner avec davantage de prudence les liens, fichiers et demandes de paiement inhabituels reçus sur les adresses e-mail professionnelles.

Les utilisateurs concernés devraient d’abord vérifier l’historique des sessions, les règles de transfert, les adresses de récupération et les notifications de sécurité inattendues dans leurs comptes de messagerie professionnels et personnels. Les mots de passe utilisés avec la même adresse e-mail sur plusieurs services devraient être remplacés par des mots de passe uniques, et l’authentification multifacteur devrait être activée partout où elle est disponible. Même si les mots de passe ne figurent pas parmi les données vérifiées de cet incident, une adresse e-mail déjà présente dans des fuites antérieures pourrait être utilisée dans des tentatives de prise de contrôle de comptes.

Les documents et messages s’appuyant sur l’intitulé de poste ou les informations sur l’employeur, tels que les demandes de vérification ou d’approbation de paiement, les formulaires de ressources humaines, les fausses invitations à des réunions et les messages de mise à jour de profil, devraient être confirmés par un autre canal. Il convient de limiter les informations publiques des profils sociaux, notamment l’adresse e-mail, le numéro de téléphone, la date d’anniversaire, le parcours professionnel et la liste des relations. Les demandes de connexion provenant de personnes inconnues devraient être examinées avec soin. Les personnes utilisant un compte de leur organisation devraient signaler les messages suspects à l’équipe de sécurité et ne pas ouvrir directement les fichiers joints.

Puisqu’il n’est pas possible de récupérer ces données durables de profils professionnels, la protection à long terme devrait reposer sur une visibilité réduite et sur la séparation des comptes. Les utilisateurs ne devraient pas employer leur adresse e-mail professionnelle pour des abonnements personnels, devraient limiter les coordonnées superflues sur leurs profils sociaux et fermer leurs anciens comptes. Les gestionnaires de mots de passe, les mots de passe uniques, l’authentification multifacteur et les vérifications régulières de la sécurité des comptes constituent les moyens de défense de base contre l’utilisation de tels jeux de données en combinaison avec d’autres attaques.

Les organisations devraient examiner régulièrement la quantité d’informations sur les fonctions de leurs employés visibles dans les espaces accessibles au public, maintenir à jour les formations de sensibilisation aux faux recrutements et aux messages frauduleux de fournisseurs, et prévoir une procédure d’approbation supplémentaire pour les tâches à haut risque. Le renforcement de la sécurité de la messagerie, des enregistrements de vérification des domaines, des canaux de signalement de l’hameçonnage et des contrôles des modifications des modalités de paiement des fournisseurs réduit considérablement l’impact des attaques alimentées par les données de profils professionnels.

Si vous constatez une correspondance, examinez séparément les catégories de données visibles : l’adresse e-mail peut servir aux prises de contact et aux essais de mots de passe, l’employeur et l’intitulé de poste aux faux messages liés à l’emploi, tandis que la localisation et les liens vers les profils sociaux peuvent servir à relier des informations à votre identité. Les priorités devraient être les suivantes : sécuriser le compte de messagerie, remplacer les mots de passe réutilisés, réduire la visibilité des profils sociaux et vérifier les messages suspects à caractère professionnel.

Bien qu’il ne s’agisse pas d’une fuite classique de mots de passe, l’incident « Vos données ont été collectées automatiquement » est une fuite massive de données qui expose l’identité professionnelle des personnes concernées. Lorsque le nom d’une personne, ses informations professionnelles et le lien vers son profil social sont réunis, il devient plus facile pour un attaquant de rédiger des messages qui semblent dignes de confiance. Les utilisateurs concernés devraient donc se préoccuper non seulement de la sécurité de leurs mots de passe, mais aussi de leurs communications professionnelles, de la confidentialité de leurs profils, des signes d’ingénierie sociale et des procédures de vérification de leur organisation.