Fuite de données chez Zoosk (2020)

Les 17 catégories de données dont l’exposition a été confirmée sont les dates de naissance, les habitudes de consommation d’alcool, les niveaux d’études, les adresses e-mail, les origines ethniques, la composition familiale, les genres, les localisations géographiques, les niveaux de revenus, les noms, les pseudonymes, les caractéristiques physiques, les opinions politiques, les situations sentimentales, les religions, les orientations sexuelles et les habitudes de consommation de tabac. Associer une adresse e-mail à ces champs de profil peut aider des attaquants à créer de faux messages convaincants prétendant provenir de l’assistance ou demandant une vérification de compte. L’orientation sexuelle, la religion, l’origine ethnique, les opinions politiques et la situation sentimentale présentent des risques de divulgation non souhaitée, de harcèlement ou de ciblage discriminatoire. Les numéros de téléphone, les données de paiement, les messages privés et les photos ne font pas partie des catégories de données dont l’exposition a été confirmée pour cette fiche.

La date de référence de la fuite est le 12 janvier 2020. En mai 2020, une annonce de vente affirmait proposer environ 30 millions d’enregistrements d’utilisateurs de Zoosk. Les données ont ensuite largement circulé au sein de différentes communautés en ligne. L’analyse de référence a confirmé la présence de 23 927 853 adresses e-mail uniques et des champs de profil sensibles; la fiche a été ajoutée le 7 août 2020. La présence d’empreintes MD5 de mots de passe avait été alléguée, mais le champ correspondant était null dans la copie en circulation. Le chiffre initialement avancé d’environ 30 millions d’enregistrements ne correspond donc pas au décompte de référence des adresses e-mail uniques, et les mots de passe ne doivent pas être ajoutés aux catégories de données dont l’exposition a été confirmée. Le point d’entrée précis et l’infrastructure touchée n’ont pas été rendus publics.

Les personnes qui possédaient un compte Zoosk pendant la période concernée et y avaient renseigné leur véritable nom, leur date de naissance, leur localisation ou des préférences personnelles détaillées sont les plus directement exposées aux risques. Le rapprochement non souhaité d’un profil de rencontres avec la vie professionnelle, la famille ou un cercle social peut porter atteinte à la vie privée et à la sécurité personnelle. Les personnes qui utilisaient une adresse e-mail professionnelle peuvent être ciblées sur leur lieu de travail, tandis que celles qui ont un profil public peuvent être plus facilement reliées à des profils sur d’autres services. Un compte ancien ou fermé n’est pas nécessairement à l’abri de ces risques, car les données de profil en circulation peuvent être rapprochées de comptes plus récents des années plus tard.

Les mots de passe ne font pas partie des catégories de données dont l’exposition a été confirmée pour cette fiche : n’interprétez donc pas une correspondance comme une preuve directe d’exposition d’un mot de passe. Commencez par examiner les sessions actives de votre messagerie, les règles de transfert et les options de récupération, puis activez l’authentification multifacteur. Ne suivez pas les liens contenus dans des messages de vérification de profil, d’abonnement, de paiement ou de suppression de photos prétendant provenir de Zoosk ou d’un autre service; accédez vous-même au site officiel. Ne payez aucune personne qui menace de divulguer des informations sur votre vie privée. Conservez ces messages et signalez-les à la plateforme ainsi que, le cas échéant, aux autorités locales. Si vous utilisez le même mot de passe, ou des mots de passe similaires, sur plusieurs services, adoptez des mots de passe uniques à titre de mesure générale de sécurité des comptes.

L’utilisation d’alias d’adresse e-mail dédiés ou masqués pour les services de rencontres et d’autres services sensibles rend plus difficile le rapprochement de jeux de données distincts autour d’une même identité. Ne conservez que les champs de profil nécessaires et vérifiez régulièrement la visibilité de votre localisation, de votre date de naissance, de vos revenus, de vos opinions politiques ou de vos convictions religieuses. Utilisez les options de suppression de compte pour les profils fermés et demandez la suppression des données qui ne sont plus nécessaires. N’utilisez pas de préférences sensibles dans un mot de passe ou une réponse à une question de sécurité, et restez attentif sur le long terme aux messages visant votre réputation ou cherchant à vous extorquer de l’argent.

Effectuez la vérification pour cette fiche avec l’adresse e-mail que vous utilisiez pour Zoosk. Une correspondance signifie que l’adresse figure dans le jeu de données vérifié de Zoosk de 2020; elle ne montre pas qu’un mot de passe, un message privé, une photo ou une donnée de paiement a été exposé. Si le résultat est positif, donnez la priorité à la sécurité de votre messagerie et à la confidentialité de votre profil, traitez avec prudence les messages contenant des détails personnels et envisagez les options de suppression des données d’un ancien compte. Si le résultat est négatif, gardez à l’esprit qu’il s’applique uniquement à ce jeu de données et ne doit pas être confondu avec les résultats concernant d’autres fiches Zoosk distinctes.