Le département de la Sécurité intérieure (DHS) enquête sur une violation de données qui pourrait avoir exposé les dossiers du personnel de 40 000 employés, y compris des agents de l'ICE et du personnel de la patrouille frontalière du CBP qui ont fait l'objet de doxxing. Cet épisode est un exemple clair de la manière dont une violation de données au DHS avec doxxing d'employés peut passer d'un incident technique à un risque personnel bien réel. Cet article couvre ce qui a été rapporté, pourquoi les dossiers divulgués sont si difficiles à contenir, et ce que tout lecteur peut faire pour réduire sa propre exposition.
Ce que nous savons jusqu'ici de la violation au DHS
Selon les reportages, le DHS enquête sur une violation qui pourrait avoir exposé les dossiers du personnel d'environ 40 000 employés. Parmi les personnes concernées figurent des agents de l'ICE et du personnel de la patrouille frontalière du CBP qui ont fait l'objet de doxxing, c'est-à-dire que des détails personnels les concernant ont été publiés ou diffusés publiquement.
Les détails disponibles sont limités. Le mot « pourrait » compte ici : l'enquête est en cours, et l'ampleur complète de ce qui a été exposé n'a pas été précisée dans les reportages sources. Nous n'allons pas spéculer au-delà de ce qui a été confirmé. Pour une couverture antérieure avec davantage de précisions sur ce qui a été rapporté, consultez notre article sur la fuite au DHS qui a exposé les coordonnées de plus de 40 000 employés.
Comment les dossiers d'employés divulgués sont instrumentalisés pour le doxxing
Le doxxing est la publication d'informations privées sur une personne, généralement pour permettre le harcèlement ou l'intimidation. Les dossiers du personnel sont particulièrement utiles à cette fin car ils associent un vrai nom à un vrai lieu de travail, et souvent à d'autres identifiants qui rendent une personne facile à trouver.
Une fois que des dossiers comme ceux-ci sont publics, plusieurs choses tendent à se produire :
- Harcèlement ciblé : les noms et coordonnées peuvent être utilisés pour des appels, messages et courriels non désirés.
- Recoupement sur les réseaux sociaux : un nom peut être recherché sur différentes plateformes pour relier une identité professionnelle à une identité personnelle, y compris celle de membres de la famille.
- Usurpation d'identité et hameçonnage : les attaquants peuvent utiliser des détails exacts pour concevoir des messages convaincants qui semblent provenir d'une source fiable.
- Enrichissement par les courtiers en données : les détails divulgués peuvent être combinés avec des informations déjà vendues ou partagées par des courtiers en données commerciaux, comblant les lacunes comme les adresses personnelles.
Ce dernier point explique pourquoi cette affaire dépasse le cadre des employés du gouvernement. Les informations de n'importe qui peuvent être assemblées de la même manière, et notre explication sur comment l'ICE achète des données de localisation montre à quel point les données personnelles sont largement collectées et partagées.
Pourquoi les données du personnel sont difficiles à retirer une fois diffusées
Un mot de passe peut être changé. Un nom, un numéro de téléphone, une adresse courriel et un historique professionnel ne peuvent pas être réinitialisés aussi facilement. Une fois qu'un ensemble de dossiers est copié, republié et dupliqué sur des forums, des sites de partage de fichiers et des plateformes sociales, aucune partie unique ne peut tout faire retirer.
Les demandes de retrait peuvent supprimer des publications individuelles, mais des copies persistent souvent ailleurs. Les moteurs de recherche et les sites agrégateurs peuvent aussi continuer à faire remonter les mêmes détails longtemps après la disparition de la source d'origine. C'est pourquoi l'objectif pratique après une fuite est rarement le retrait total. Il s'agit de réduire la facilité avec laquelle les données exposées peuvent être reliées à d'autres informations vous concernant, et de rendre leur exploitation plus difficile.
Ce que cela signifie pour vous
La plupart des lecteurs ne travaillent pas pour le DHS, mais les mêmes mécanismes s'appliquent à toute violation. Si votre nom, votre courriel ou votre numéro de téléphone apparaît dans une fuite, ils peuvent être réutilisés pour l'hameçonnage, le harcèlement ou le recoupement d'identité. La différence entre une nuisance et un problème sérieux dépend souvent de la quantité d'autres informations vous concernant qui sont faciles à trouver.
La bonne nouvelle, c'est que vous en contrôlez plus que vous ne le pensez. Réduire votre empreinte publique avant qu'un problème ne survienne est bien plus facile que de nettoyer après coup.
Étapes pour limiter votre propre exposition
- Vérifiez si vos données sont exposées. Utilisez un service réputé de notification de violations pour voir lesquelles de vos adresses courriel et de vos numéros de téléphone sont apparus dans des fuites connues. Considérez tout résultat positif comme une invitation à changer le mot de passe de ce compte.
- Désactivez le suivi par les courtiers en données. De nombreux courtiers publient des noms, adresses, numéros de téléphone et liens de parenté. La plupart proposent un formulaire de désinscription, mais vous devrez peut-être le répéter périodiquement car les fiches peuvent réapparaître.
- Renforcez les paramètres de confidentialité des réseaux sociaux. Limitez qui peut voir votre liste d'amis, vos photos identifiées, votre employeur et vos informations de localisation. Supprimez les informations qui relient vos identités professionnelle et personnelle.
- Utilisez des courriels et des numéros distincts. Des adresses différentes pour les comptes bancaires, d'achat et sociaux rendent plus difficile la mise en relation de vos profils après une fuite.
- Activez l'authentification multifacteur. Même si vos coordonnées sont publiques, un second facteur rend la prise de contrôle de compte bien plus difficile.
- Soyez sceptique face aux messages inattendus. Si quelqu'un vous contacte avec des détails personnels exacts, ne présumez pas qu'il est légitime. Vérifiez par un canal officiel que vous recherchez vous-même.
- Limitez le partage de localisation. Passez en revue les applications qui ont accès à votre localisation et désactivez tout ce qui n'en a pas besoin.
L'essentiel
L'enquête du DHS est toujours en cours, et d'autres détails pourraient émerger. Ce qui est déjà clair, c'est comment une violation de données au DHS avec doxxing d'employés peut transformer des dossiers exposés en un problème de sécurité personnelle. Prenez quelques minutes cette semaine pour vérifier si vos propres données ont été exposées, et commencez à vous désinscrire des courtiers en données. Lisez notre couverture antérieure de la fuite au DHS pour les spécificités de la violation, et notre article sur les données de localisation de l'ICE pour le contexte sur la manière dont les données personnelles sont collectées et partagées.
