Si vous avez utilisé MoneySmart, la plateforme de comparaison financière, vous vous posez peut-être en ce moment la question que faire après la violation de données de MoneySmart. L'entreprise a révélé que des pirates ont accédé à ses systèmes internes, affectant des clients à Singapour et à Hong Kong, et que des numéros de carte d'identité (IC) et des informations financières ont potentiellement été exposés. Ce guide explique ce qui a été rapporté et les mesures pratiques qui réduisent votre risque de fraude et d'hameçonnage.

Ce que MoneySmart dit qu'il s'est passé

Selon un article du Straits Times, MoneySmart indique que des clients à Singapour et à Hong Kong ont été affectés après que des pirates ont accédé à ses systèmes internes. L'avis de l'entreprise, cité dans les résultats de recherche, précise que le 29 octobre, elle a découvert qu'un tiers non autorisé avait accédé à certains de ses systèmes informatiques internes.

Le mot « potentiellement » est important ici. Les rapports décrivent les données comme potentiellement exposées, ce qui signifie que chaque personne affectée n'a pas nécessairement eu tous les types de données prélevés. Des extraits de la couverture listent des enregistrements pouvant inclure des noms, des dates de naissance, la nationalité, des numéros d'identification, des adresses e-mail et des numéros de mobile, avec des détails d'expédition également mentionnés. La liste exacte pour votre compte ne peut être confirmée que par MoneySmart, donc la première étape consiste à lire l'avis officiel de l'entreprise et tout message qui vous a été envoyé directement.

Nous n'avons pas vu de confirmation sur la façon dont les attaquants sont entrés ni sur le nombre de personnes affectées, et nous ne ferons pas de suppositions. Si ces détails sont publiés, ils devraient provenir de MoneySmart ou des autorités.

Pourquoi les numéros d'IC et les données financières présentent un risque élevé

Toutes les données divulguées ne se valent pas. Un mot de passe changé peut être corrigé en une minute. Un numéro d'IC ne peut pas être changé de manière pratique, et il est souvent utilisé pour vérifier votre identité auprès des banques, des opérateurs télécoms et des services gouvernementaux. Combiné à votre nom, votre date de naissance, votre nationalité et votre numéro de téléphone, il donne à un escroc l'essentiel de ce dont il a besoin pour paraître convaincant lorsqu'il se fait passer pour vous ou pour une entreprise avec laquelle vous traitez.

Les informations financières ajoutent une couche supplémentaire. Même lorsque les identifiants complets de carte ou bancaires ne sont pas impliqués, savoir que quelqu'un a demandé un prêt, une carte de crédit ou un produit d'assurance via une plateforme de comparaison donne aux criminels un scénario crédible. Un appelant qui connaît déjà votre nom, votre numéro de mobile et le type de produit que vous avez consulté est bien plus persuasif qu'un escroc aléatoire.

C'est le vrai danger d'une violation comme celle-ci. Le risque immédiat concerne moins la connexion de quelqu'un à MoneySmart que ce qui se passe dans les semaines suivantes, lorsque les données sont utilisées pour vous cibler ailleurs.

Comment protéger vos comptes après la violation

Vous n'avez pas besoin de paniquer, mais quelques étapes valent la peine d'être faites aujourd'hui :

  • Lisez l'avis officiel. Rendez-vous sur le site web de MoneySmart ou consultez l'e-mail qu'il vous a envoyé, plutôt que de suivre un lien dans un message inattendu.
  • Examinez vos relevés bancaires et de carte. Vérifiez les transactions que vous ne reconnaissez pas et signalez-les rapidement à votre banque. C'est le conseil axé sur les comportements mis en avant dans la couverture de l'incident.
  • Changez votre mot de passe MoneySmart. Si vous avez réutilisé ce mot de passe ailleurs, changez-le également sur ces comptes, et utilisez un mot de passe unique pour chaque service via un gestionnaire de mots de passe.
  • Activez l'authentification à deux facteurs pour l'e-mail, les services bancaires et toute application financière. Votre compte e-mail est la clé pour réinitialiser tout le reste.
  • Soyez prudent avec la vérification d'identité. Étant donné que votre numéro d'IC peut être connu, traitez toute demande de confirmation par téléphone, SMS ou e-mail comme suspecte, sauf si vous avez initié le contact par un canal officiel.
  • Contactez votre banque directement si vous êtes inquiet. Utilisez le numéro au dos de votre carte ou dans l'application officielle, pas celui donné par un appelant.

Un VPN ne remédie pas à une violation comme celle-ci, car les données ont été prélevées sur les systèmes de l'entreprise plutôt que sur votre connexion. Il peut protéger votre trafic sur un Wi-Fi public, mais les étapes ci-dessus comptent bien davantage ici.

Repérer l'hameçonnage qui utilise des détails divulgués

Après une violation, les attaquants prennent souvent contact en utilisant de vrais détails pour paraître légitimes. MoneySmart a déjà averti que si vous recevez une demande prétendant venir de l'entreprise, vous ne devez pas y répondre et devez plutôt la signaler au contact de sécurité des données indiqué dans son avis.

Soyez attentif à ces signaux d'alarme :

  • L'urgence. Des messages affirmant que votre compte sera gelé, ou que vous devez agir dans les heures qui suivent.
  • Les demandes de codes ou d'identifiants. Aucune entreprise ou banque authentique ne vous demandera votre mot de passe à usage unique ou votre code PIN complet.
  • Les liens et pièces jointes que vous n'attendiez pas. Rendez-vous sur le site web en tapant vous-même l'adresse ou en utilisant un favori enregistré.
  • Les détails personnels utilisés comme preuve. Connaître votre nom ou votre numéro de téléphone ne prouve pas qu'un expéditeur est réel. Ces informations sont peut-être désormais entre des mains criminelles.
  • La pression pour changer de canal de conversation. Méfiez-vous si un appelant vous demande de passer à une application de messagerie ou d'installer un logiciel.

Ce schéma est courant après des fuites de données de contact. Notre rapport sur la violation Adidas impliquant un fournisseur tiers montre comment des informations de contact client volées peuvent devenir la matière première d'un hameçonnage ultérieur, même lorsque les mots de passe et les détails de paiement ne sont pas prélevés.

Ce que cela signifie pour vous

Si vous êtes un utilisateur de MoneySmart à Singapour ou à Hong Kong, partez du principe que vos données personnelles peuvent être en circulation et agissez en conséquence. L'objectif n'est pas d'empêcher chaque tentative d'escroquerie, ce qui n'est pas réaliste, mais de faire en sorte que toute tentative échoue. Cela signifie vérifier chaque contact de manière indépendante, surveiller vos comptes et ne jamais partager de codes ou d'identifiants avec quelqu'un qui vous a contacté en premier.

Si vous n'avez jamais utilisé MoneySmart, la leçon s'applique quand même. Les plateformes de comparaison et d'inscription collectent beaucoup d'informations sensibles, alors ne partagez que ce qui est nécessaire et utilisez des mots de passe uniques partout.

Points clés à retenir

En ce qui concerne la question que faire après la violation de données de MoneySmart, la réponse tient surtout à des habitudes régulières et peu spectaculaires :

  1. Consultez les avis officiels de MoneySmart et tout message direct de l'entreprise.
  2. Surveillez vos relevés bancaires et de carte, et signalez rapidement les transactions inhabituelles.
  3. Utilisez un mot de passe unique et l'authentification à deux facteurs sur les comptes clés.
  4. Traitez les appels, textos et e-mails inattendus comme suspects, même s'ils citent vos vrais détails.
  5. Signalez les messages suspects prétendant venir de MoneySmart en utilisant le contact indiqué dans son avis officiel.

Pour un autre exemple de la façon dont des données de contact divulguées alimentent l'hameçonnage longtemps après l'incident initial, lisez notre article sur la violation Adidas et restez vigilant dans les semaines à venir.