Fuite de données chez Zacks (2024)

Les types de données répertoriés pour cet incident sont les suivants : adresses e-mail, adresses IP, noms, mots de passe, numéros de téléphone, adresses postales et noms d’utilisateur. Les données de compte associées à un intérêt pour l’investissement peuvent être utilisées dans de fausses alertes concernant un portefeuille, de faux rapports de marché ou de faux messages de vérification de compte. La présence simultanée de ces champs peut aider les attaquants à préparer de fausses notifications de compte, des fraudes, des rapprochements d’identités ou des tentatives ciblées d’ingénierie sociale.

Il ressort que les mots de passe sont associés à des valeurs de hachage SHA-256 non salées, ce qui présente un risque important pour les mots de passe faibles. L’absence de mot de passe n’élimine pas totalement le risque : une adresse, un numéro de téléphone, une date de naissance, des informations sur un appareil, un profil professionnel, un programme de fidélité, une activité sur le Web ou des informations d’achat peuvent également suffire à cibler un utilisateur. Si un mot de passe est présent, il faut vérifier de toute urgence s’il est réutilisé sur d’autres services.

La fiche couvre environ 11,99 millions d’adresses e-mail uniques appartenant au jeu de données de 2024 associé au domaine zacks.com. L’incident relève de la catégorie des fiches confirmées. Le périmètre est établi en comparant le domaine, le contexte de l’entreprise, le pays, le secteur d’activité, le nombre de comptes et les catégories de données. Les champs présentés aux utilisateurs se limitent à ceux répertoriés dans la fiche.

Cette fiche reste distincte de celle du précédent incident Zacks et a été mise à jour pour couvrir le jeu de données de 2024. Pour certains incidents, la confirmation par l’entreprise peut être limitée, ou le jeu de données peut avoir été diffusé dans des environnements tiers. Ici, la présentation se concentre sur les éléments qui reflètent le risque réel pour les utilisateurs, sans exagérer les points incertains.

Les utilisateurs de Zacks, les personnes disposant d’un compte de recherche en investissement et celles qui réutilisent le même mot de passe sur des comptes financiers ou de messagerie sont à risque. Pour ces utilisateurs, le principal risque tient au rapprochement des champs divulgués avec des informations courantes utilisées sur d’autres plateformes. La réutilisation d’une même adresse e-mail, d’un même numéro de téléphone, d’un même nom d’utilisateur, d’une même adresse postale, d’un même profil social ou d’un même mot de passe sur différents comptes augmente la surface d’attaque.

Le contexte financier peut être exploité dans de faux rapports, de fausses recommandations d’investissement, de faux messages de blocage de compte ou de faux messages concernant un abonnement ou un paiement. Les contextes du jeu vidéo, du commerce de détail, des paiements, des profils sociaux, des voyages, de l’investissement, des compagnies aériennes et de la santé et du bien-être engendrent des risques différents. Vous devez tenir compte non seulement de la liste des domaines, mais aussi des comptes ou services auxquels ces domaines sont associés.

Les utilisateurs concernés doivent changer leurs mots de passe et vérifier l’historique des connexions de leurs comptes financiers et de messagerie. Si un mot de passe ou un champ assimilable à un mot de passe est répertorié, ils doivent modifier le mot de passe de tous les comptes sur lesquels ils utilisent un mot de passe identique ou similaire, choisir un mot de passe unique et activer l’authentification multifacteur lorsque cela est possible. Le compte de messagerie doit également être sécurisé.

Si des champs tels qu’une adresse, un numéro de téléphone, une date de naissance, un appareil, un profil professionnel, un achat ou un programme de fidélité sont présents, les utilisateurs doivent vérifier les options de récupération de compte, l’historique des sessions, les règles de transfert et les messages suspects. Les demandes de vérification et de documents reçues dans un contexte financier, de paiement ou lié à une compagnie aérienne doivent être confirmées par un second canal.

Les comptes d’investissement et les comptes financiers doivent toujours utiliser des mots de passe uniques, avec l’authentification multifacteur et les alertes de transaction activées. À long terme, l’utilisation d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification multifacteur, ainsi que la fermeture des anciens comptes et la suppression des champs de profil inutiles, constituent des protections fondamentales. Les données personnelles permanentes ne pouvant être récupérées, les utilisateurs doivent renforcer leurs pratiques et les paramètres de leurs comptes.

Les institutions doivent régulièrement contrôler la minimisation des données, la durée de conservation des anciens dossiers clients, les autorisations des comptes de forums et de communautés, les champs relatifs aux programmes de fidélité et les processus de signalement des incidents. Du côté des utilisateurs, ne pas réutiliser partout les mêmes informations d’identité réduit durablement le risque.

Si vos données correspondent à cette fiche, vous devez vérifier, en plus de votre compte Zacks, tous les services financiers sur lesquels vous utilisez le même mot de passe. Si une correspondance apparaît, consultez les champs de données répertoriés et définissez vos priorités en conséquence. Si un mot de passe est présent, son changement est prioritaire; si une adresse ou un numéro de téléphone est présent, la mise en place d’une alerte à la fraude est prioritaire; si des informations financières ou de paiement sont présentes, la surveillance du compte est prioritaire; si un profil social est présent, la vérification des paramètres de confidentialité est prioritaire.

Évaluation finale : cette fiche décrit un incident sensible touchant des comptes financiers, car elle contient des adresses IP, des adresses postales, des numéros de téléphone et des valeurs de hachage de mots de passe non salées. Vous devez comparer cette fiche à l’historique de vos comptes et vérifier séparément les services sur lesquels vous utilisez la même adresse e-mail, le même numéro de téléphone, le même nom d’utilisateur, la même adresse postale ou le même mot de passe. Après l’incident, tout appel, e-mail, message ou avis de récupération de compte suspect doit être considéré comme présentant un risque accru.