Fuite de données chez Zoomcar

Les catégories de données vérifiées sont les adresses e-mail, les adresses IP, les noms, les numéros de téléphone et les mots de passe. Le champ du mot de passe doit être considéré comme contenant des données stockées sous forme de hachage bcrypt, et non un mot de passe en clair. Bien que bcrypt soit une méthode robuste de stockage des mots de passe, le risque n’est pas totalement éliminé lorsque les mots de passe sont faibles ou réutilisés. Si le même mot de passe est utilisé pour des comptes de messagerie, de transport, de paiement, de réseaux sociaux ou professionnels, des attaquants peuvent cibler ces comptes par des tentatives de connexion automatisées.

L’association du nom, du numéro de téléphone et de l’adresse e-mail fournit suffisamment de contexte pour mener des attaques d’hameçonnage ciblées. Lorsqu’un lien avec un service de location de voitures peut être établi, des messages portant sur de fausses réservations, des confirmations de paiement, des documents liés à la conduite, des notifications de sécurité ou des demandes d’assistance peuvent sembler plus convaincants. Une adresse IP ne constitue pas à elle seule une preuve certaine de localisation; associée à l’activité du compte, elle fournit toutefois des traces supplémentaires. Les adresses physiques, les cartes de paiement, les pièces d’identité officielles, les images de permis de conduire, les certificats d’immatriculation et les historiques de déplacements ne font pas partie des catégories de données vérifiées pour cette fiche de 2018.

Pour l’incident Zoomcar, le périmètre retenu dans LeakData doit rester fixé à 3 589 795 comptes de messagerie uniques. La date de la fuite doit être consignée comme étant le 1er juillet 2018, et la date d’ajout vérifiée comme étant le 5 juin 2020. Les chiffres et les champs de données mentionnés dans des articles plus généraux ou à propos d’incidents Zoomcar survenus au cours d’autres années ne doivent pas être ajoutés à cette fiche de 2018. Cette distinction est particulièrement importante : une même marque peut connaître plusieurs incidents à des dates différentes, mais chaque incident doit être évalué selon sa propre date vérifiée et ses propres catégories de données.

Les champs de données vérifiés de cette fiche sont les adresses e-mail, les adresses IP, les noms, les mots de passe et les numéros de téléphone. Le mot de passe doit être décrit comme étant stocké sous forme de hachage bcrypt, et non comme un mot de passe en clair. Les informations de paiement, les comptes bancaires, les pièces d’identité officielles, les fichiers de permis de conduire, les numéros d’immatriculation, les adresses physiques et les historiques de localisation en temps réel ne doivent pas figurer parmi les champs dont la présence est établie pour cet incident. Définir clairement ces limites pour l’utilisateur réduit les fausses alertes et permet de se concentrer sur les mesures de sécurité nécessaires.

Les utilisateurs les plus exposés sont ceux qui réutilisent sur d’autres comptes le mot de passe de leur compte Zoomcar. Lorsque l’adresse e-mail et le numéro de téléphone sont tous deux disponibles, des attaquants peuvent envoyer de fausses notifications d’assistance, de réservation, de promotion ou de dette, aussi bien par e-mail que par SMS. Le nom permet de personnaliser les messages; l’adresse IP, quant à elle, peut fournir des indices supplémentaires sur le contexte technique du compte. Un ancien compte de location de voitures peut donc avoir des conséquences sur la sécurité des comptes de messagerie et des comptes liés au téléphone mobile actuellement actifs.

Les personnes qui utilisent Zoomcar avec une adresse e-mail professionnelle peuvent être plus vulnérables aux tentatives d’ingénierie sociale liées aux déplacements et à la gestion de flotte. Pour celles qui créent un compte avec une adresse e-mail personnelle, les risques liés à la réutilisation des mots de passe et aux faux messages de livraison ou de réservation sont plus présents. Puisqu’un numéro de téléphone est fourni, il convient de se méfier du détournement de carte SIM, des faux appels d’assistance et des tentatives visant à obtenir des codes de vérification. Si une correspondance est détectée, l’utilisateur ne doit pas considérer que le simple fait de ne plus utiliser l’ancien compte suffit à le protéger.

Si votre adresse e-mail figure dans les données de Zoomcar, vous devez d’abord vérifier que l’ancien mot de passe de votre compte Zoomcar n’est plus utilisable sur aucun autre compte. Si vous avez utilisé le même mot de passe ou un mot de passe similaire pour des comptes de messagerie, bancaires, de réseaux sociaux, de transport, d’achat ou professionnels, vous devez définir un mot de passe long et distinct pour chacun de ces comptes. L’utilisation d’un gestionnaire de mots de passe réduit le risque de réutilisation. Modifier une petite partie du mot de passe ou ajouter une date à la fin ne suffit pas : l’ancienne structure doit être complètement abandonnée.

Vous devez activer l’authentification à deux facteurs pour les services liés à votre compte de messagerie et à votre numéro de téléphone. Si vous recevez un message inattendu concernant une réservation, un paiement, des frais pour dommages, un document lié à la conduite ou la sécurité de votre compte, utilisez directement l’application ou le site officiel plutôt que de cliquer sur un lien. Ne communiquez à personne les codes de vérification reçus par SMS. Si vous constatez une session suspecte, une demande inattendue de réinitialisation du mot de passe ou une notification signalant un appareil inconnu, vous devez fermer les sessions, vérifier les informations de récupération et contrôler les autres comptes de services de transport créés avec la même adresse e-mail.

La fuite de Zoomcar montre que les comptes de transport et de location doivent être aussi bien protégés que les comptes d’identité principaux. Les utilisateurs doivent éviter de réutiliser leurs mots de passe entre leurs comptes personnels, professionnels, financiers, de transport et de réseaux sociaux. Comme les numéros de téléphone et les adresses e-mail restent souvent inchangés pendant de nombreuses années, les données issues d’anciennes fuites peuvent retrouver de la valeur dans de nouvelles campagnes d’hameçonnage. Les comptes de transport inutilisés doivent être fermés ou isolés au moyen de mots de passe uniques et d’une protection multifacteur.

La principale leçon pour les prestataires de services est de protéger les hachages de mots de passe par des méthodes robustes, d’auditer régulièrement les journaux d’accès, de limiter les champs de données personnelles inutiles et de notifier les fuites sans délai. Comme les services d’autopartage peuvent détenir d’autres catégories de données sensibles, notamment concernant les paiements, l’identité et les documents des véhicules, le rapport d’incident doit distinguer clairement les catégories touchées de celles qui ne l’ont pas été. Dans le cas de cet incident Zoomcar de 2018, la communication sur les risques doit se concentrer sur la sécurité des comptes, les fraudes par téléphone et l’hameçonnage.

La vérification des données relatives à la fuite de Zoomcar indique si l’adresse e-mail saisie figure dans cet ensemble de données vérifié. Si le résultat est positif, l’adresse e-mail, l’adresse IP, le nom, le numéro de téléphone et le hachage bcrypt du mot de passe doivent être considérés comme exposés à un risque. Si le résultat est négatif, cela signifie uniquement qu’aucune correspondance n’a été trouvée dans cet ensemble de données précis; cela ne prouve pas que la personne n’a pas été concernée par d’autres incidents Zoomcar ou par des fuites touchant d’autres services de transport. Conserver des dates exactes évite de confondre les incidents anciens avec des déclarations faites au cours d’autres années.

La conduite à tenir consiste à abandonner définitivement l’ancien mot de passe, à changer tous les mots de passe réutilisés, à activer une protection multifacteur pour le compte de messagerie et à se méfier des faux messages d’assistance ou de réservation reçus sur votre numéro de téléphone. Vous devez également passer en revue les comptes de transport, de location de voitures, de paiement et de réseaux sociaux créés avec la même adresse e-mail et le même numéro de téléphone. Ces mesures réduisent le risque qu’une fuite de données de 2018 entraîne aujourd’hui une prise de contrôle de compte, un hameçonnage ciblé ou une fraude par téléphone.