Un référentiel en ligne non sécurisé lié à Vibetech, une société indienne de développement de logiciels d'IA, aurait laissé des millions d'enregistrements accessibles à toute personne disposant d'une connexion internet. Selon le rapport, la découverte de la base de données exposée de Vibetech, 13,7 millions d'enregistrements, a été faite par un chercheur en cybersécurité et concerne des données liées à des organisations telles qu'Amazon, AT&T, PayPal, Walmart, le FBI et Interpol. Bon nombre de ces enregistrements semblent provenir de violations plus anciennes, et des détails clés restent non confirmés.
Voici ce qui a été rapporté, pourquoi les données recyclées restent importantes et ce que vous pouvez faire à ce sujet.
Ce que contenait prétendument la base de données exposée
Le référentiel était prétendument accessible à toute personne en ligne, sans barrière apparente à l'entrée. Selon le résumé de la source, il contenait environ 13,7 millions d'enregistrements comprenant :
- Des adresses e-mail
- Des noms d'utilisateur
- Des mots de passe
- Des numéros de téléphone
- Des coordonnées bancaires
Les enregistrements étaient associés à une longue liste de noms bien connus : Amazon, AT&T, PayPal, Walmart, le FBI, Interpol et le domaine lié à la Russie Casio.ru, aux côtés de Vibetech lui-même. Le rapport note que bon nombre des enregistrements provenaient de violations de données passées plutôt que d'une nouvelle compromission de ces organisations.
Ce dernier point est important. Le fait d'apparaître dans un ensemble de données aux côtés du nom d'une marque ne signifie pas nécessairement que cette entreprise a été piratée à nouveau. Cela peut simplement signifier que les personnes qui utilisaient ces services ont vu leurs données divulguées lors d'incidents antérieurs, et que ces données ont ensuite été compilées en un seul endroit.
Pourquoi les données de violation recyclées exposent toujours les personnes à des risques
Il est tentant de minimiser une fuite composée d'anciennes données. Ce serait une erreur. Les données de violation compilées sont précieuses précisément parce qu'elles sont organisées et consultables.
Voici comment les enregistrements recyclés peuvent encore causer des préjudices :
- Le credential stuffing : Les attaquants prennent des paires e-mail/mot de passe divulguées et les essaient sur d'autres sites. Si vous avez réutilisé un mot de passe, une ancienne fuite peut déverrouiller des comptes plus récents.
- L'hameçonnage ciblé : Les numéros de téléphone, les noms d'utilisateur et les détails de compte rendent les messages frauduleux plus convaincants. Un message qui référence de vraies informations a plus de chances d'être cru.
- La fraude financière : Les coordonnées bancaires exposées peuvent être utilisées pour tenter des virements frauduleux ou pour construire un profil en vue d'une usurpation d'identité.
- L'agrégation : Lorsque les données de plusieurs violations se trouvent dans un seul référentiel, il devient plus facile de relier les éléments de l'identité d'une personne.
Ce schéma n'est pas propre à ce cas. De grands ensembles de données d'identité ne cessent de refaire surface, comme en témoignent la couverture de l'enquête du FBI sur une vente sur le dark web de 153 millions de permis de conduire et l'enquête du Commissaire à la protection de la vie privée du Canada sur la violation d'IDScan.net. Dans chaque cas, le risque durable provient de la durée pendant laquelle les données personnelles restent en circulation.
Ce qui reste non vérifié concernant le rôle de Vibetech
Le reportage laisse d'importantes lacunes, et il vaut la peine d'être clair à leur sujet.
- La base de données était liée à Vibetech, mais le lien de l'entreprise avec les données exposées est décrit comme flou.
- Il n'est pas confirmé si Vibetech a créé, collecté ou simplement hébergé les données, ou si un tiers était responsable.
- La source n'indique pas qu'Amazon, AT&T, PayPal, Walmart, le FBI ou Interpol ont subi une nouvelle violation.
- Les détails sur la durée pendant laquelle le référentiel a été exposé, et si quelqu'un d'autre y a accédé, n'étaient pas fournis dans le texte disponible.
Jusqu'à ce que l'entreprise ou les organisations nommées répondent, ces affirmations doivent être traitées comme non vérifiées. La présence de noms d'agences tels que le FBI et Interpol peut refléter des adresses e-mail ou des comptes associés à ces domaines, mais la source n'explique pas la nature de ces enregistrements.
Ce que cela signifie pour vous
Vous n'avez pas besoin de savoir si vos données se trouvent dans ce référentiel particulier pour agir de manière sensée. Si vous avez déjà détenu un compte auprès d'un grand détaillant, d'un opérateur télécom ou d'un service de paiement, vos données circulent peut-être déjà depuis une violation antérieure. La question pratique est de savoir si ces anciennes informations peuvent encore être utilisées contre vous.
Le facteur le plus important est la réutilisation des mots de passe. Si un mot de passe divulgué correspond à celui que vous utilisez aujourd'hui, les attaquants n'ont pas besoin d'une nouvelle violation pour entrer. Le deuxième facteur est votre degré de confiance envers les messages non sollicités. Traitez avec prudence les textos, e-mails et appels inattendus qui mentionnent vos comptes, même s'ils contiennent des données personnelles exactes.
Comment vérifier votre exposition et protéger vos comptes
- Vérifiez les fuites connues. Utilisez un service réputé de notification de violations pour voir si vos adresses e-mail ou numéros de téléphone apparaissent dans des fuites connues.
- Changez les mots de passe réutilisés. Commencez par les comptes de messagerie, bancaires et de paiement. Chaque compte devrait avoir son propre mot de passe unique, idéalement généré et stocké dans un gestionnaire de mots de passe.
- Activez l'authentification à deux facteurs (2FA). Préférez une application d'authentification ou une clé matérielle au SMS lorsque c'est possible, afin qu'un mot de passe divulgué ne suffise pas à lui seul.
- Surveillez vos comptes financiers. Examinez vos relevés bancaires et de carte et configurez des alertes de transaction. Contactez votre banque si vous voyez quelque chose d'inhabituel.
- Soyez sceptique face aux tentatives de contact. Ne cliquez pas sur les liens dans les messages inattendus. Rendez-vous directement sur le site web ou l'application officiels.
- Envisagez un gel de crédit. Si des coordonnées bancaires ou d'autres données d'identité peuvent être exposées, un gel peut limiter l'ouverture de nouveaux comptes en votre nom.
Points clés à retenir
L'affaire de la base de données exposée de Vibetech et de ses 13,7 millions d'enregistrements est encore en évolution, et ses affirmations les plus importantes ne sont pas confirmées. Ce qui est clair, c'est que les anciennes données de violation n'expirent pas. Vérifiez si vos adresses e-mail et mots de passe apparaissent dans des fuites connues, passez à des mots de passe uniques avec 2FA et restez vigilant face à l'hameçonnage. Pour en savoir plus sur la propagation des grands ensembles de données d'identité, lisez notre couverture de l'enquête du FBI sur la violation de permis de conduire et les articles sur IDScan.net liés ci-dessus.
