Une fuite signalée au sein du Department of Homeland Security (DHS) a mis en circulation les noms, numéros de téléphone et adresses e-mail de plus de 40 000 employés. La violation de données du DHS concernant les coordonnées des employés est, selon le rapport de VOZ, la troisième fuite de données gouvernementales à faire les gros titres au cours du mois écoulé. L'article source est peu détaillé sur le plan technique, aussi cet article s'en tient-il à ce qui a été rapporté et explique pourquoi ce type de données compte, même lorsqu'elles semblent anodines.
Ce qui a été exposé dans la fuite du DHS
D'après les informations rapportées, les données exposées concernent plus de 40 000 employés du DHS et se limitent à trois types de données : noms, numéros de téléphone et adresses e-mail. Le rapport ne décrit pas, dans les éléments dont nous disposons, comment les données ont été obtenues, qui en est à l'origine, quand cela s'est produit, ni si d'autres catégories telles que les numéros de sécurité sociale ou les documents financiers étaient concernées. Nous ne spéculerons pas sur ces détails.
Cette lacune mérite d'être soulignée. Les premiers rapports sur les violations sont souvent incomplets, et l'ampleur peut évoluer à mesure que les agences enquêtent. Considérez le chiffre actuel comme une base rapportée plutôt qu'un décompte définitif, et surveillez les déclarations officielles du DHS.
Une série de fuites de données gouvernementales
L'incident du DHS ne constitue pas un cas isolé. Le rapport le présente comme la troisième fuite de données gouvernementales à faire les gros titres en un seul mois. Deux autres affaires récentes couvertes sur vpn.social apportent un contexte utile. Dans l'une, le FBI a déclaré traiter une violation impliquant les données sensibles de ses employés et a promis de poursuivre ceux qu'il estime responsables. Dans l'autre, les autorités françaises ont arrêté un adolescent de 15 ans soupçonné d'avoir piraté l'ANTS, l'agence qui gère les documents d'identité.
Ces affaires impliquent des agences et des pays différents, nous ne devons donc pas supposer qu'elles sont liées. Ce qu'elles ont en commun, c'est la cible : de grandes bases de données du secteur public regorgeant d'informations personnelles sur le personnel ou les citoyens. Les organismes gouvernementaux détiennent des données précieuses pour les criminels et, dans certains cas, pour des acteurs hostiles, ce qui en fait des cibles persistantes.
Pourquoi les coordonnées alimentent l'hameçonnage et l'ingénierie sociale
Il est tentant de minimiser une fuite de noms, de numéros de téléphone et d'e-mails. Aucun mot de passe ni donnée financière, alors où est le mal ? La réponse est que les données de contact constituent la matière première des attaques ciblées.
Avec un nom vérifié, une adresse e-mail professionnelle et un numéro de téléphone liés à un employeur connu, un attaquant peut :
- Concevoir des e-mails d'hameçonnage convaincants qui s'adressent à une personne par son nom et mentionnent son agence.
- Mener des appels d'hameçonnage vocal (vishing) en se faisant passer pour le support informatique, un collègue ou un fournisseur.
- Envoyer des leurres par SMS qui redirigent les destinataires vers de fausses pages de connexion.
- Usurper l'identité de personnes internes pour extorquer des informations à des collègues qui font confiance à un nom familier.
Pour les employés d'une agence centrée sur la sécurité, le risque est que les attaquants savent exactement qui y travaille et comment les joindre. Même un petit nombre de messages réussis peut donner à un attaquant un point d'ancrage. Le risque ne se limite d'ailleurs pas à ces employés. Les membres de leur famille, les sous-traitants et toute personne communiquant avec le personnel du DHS pourraient recevoir des messages semblant provenir d'une source de confiance.
Les fuites de coordonnées seules ont aussi tendance à être réutilisées. Des listes d'e-mails et de numéros de téléphone vérifiés peuvent être combinées avec des données issues d'autres incidents. Notre couverture de la fuite LimeLeads de 49,4 millions de contacts professionnels montre comment les bases de données de contacts peuvent circuler et être exploitées longtemps après l'incident initial.
Ce que cela signifie pour vous
Vous ne travaillez peut-être pas pour le DHS, mais les leçons valent pour tout le monde. La plupart d'entre nous ont leur nom, leur e-mail et leur numéro de téléphone consignés dans de nombreuses bases de données : employeurs, commerçants, courtiers en données et agences gouvernementales. Lorsque l'une d'elles est compromise, le même scénario d'hameçonnage est utilisé contre des personnes ordinaires.
Si vous êtes employé du DHS ou travaillez avec l'un d'eux, attendez-vous à plus de messages non sollicités que d'habitude et traitez les demandes inattendues avec méfiance, même si elles utilisent votre nom ou mentionnent votre lieu de travail. Si ce n'est pas votre cas, servez-vous-en comme d'un rappel pour examiner quelle part de vos propres coordonnées est accessible publiquement et qui peut vous joindre.
Comment réduire votre propre exposition de données personnelles
Vous ne pouvez pas contrôler qu'une organisation soit compromise, mais vous pouvez limiter les dégâts. Parmi les mesures concrètes :
- Utilisez des alias e-mail uniques pour différents services afin qu'une fuite à un endroit ne relie pas tout le reste.
- Gardez un numéro de téléphone séparé pour les inscriptions et les annonces publiques, plutôt que votre numéro de mobile principal.
- Activez l'authentification multifacteur, idéalement avec une application d'authentification ou une clé matérielle plutôt que par SMS.
- Vérifiez avant de faire confiance. Si un appel, un texto ou un e-mail demande des identifiants ou une action urgente, contactez l'organisation par un canal dont vous savez déjà qu'il est authentique.
- Ne cliquez pas sur les liens des messages inattendus. Rendez-vous directement sur le site.
- Consultez les outils de notification de violation pour voir lesquelles de vos adresses sont apparues dans des fuites connues, et changez vos mots de passe en conséquence.
- Demandez la suppression de vos données des sites de courtiers en données où vos informations sont répertoriées.
L'objectif n'est pas d'éliminer l'exposition, ce qui est irréaliste, mais de rendre chaque donnée divulguée moins utile à un attaquant.
À retenir
La violation de données signalée au DHS concernant les coordonnées des employés peut sembler modeste face à des fuites incluant mots de passe ou documents financiers, mais les données de contact sont précisément ce qui fait fonctionner l'hameçonnage et l'ingénierie sociale. Avec trois fuites gouvernementales rapportées en un mois, c'est le moment opportun pour auditer où vos propres coordonnées sont exposées et renforcer vos habitudes. Pour un contexte plus large sur cette tendance, lisez notre couverture de la violation de données des employés du FBI et du piratage des dossiers d'identité de l'ANTS, puis prenez quelques minutes pour sécuriser vos propres comptes.
