Fuite de données Acuity

Acuity, c’est quoi ?

Vous n’avez pas de compte chez « Acuity » : ce nom est celui attribué à un corpus de données, et l’attribution n’a jamais pu être confirmée. C’est un fichier constitué sur vous par des tiers, pas un service que vous auriez utilisé.

Ce qui s’est passé

Au milieu de l’année 2020, un corpus de 437 Go attribué à une entité nommée « Acuity » a été constitué, puis largement diffusé.

La source n’a toutefois pas pu être confirmée avec certitude comme correspondant à une quelconque société connue portant ce nom.

Le lot totalise plus de 14 millions d’adresses email uniques, chaque ligne comportant des informations personnelles étendues réparties sur plus de 400 colonnes : noms, numéros de téléphone, adresses postales, genres, civilités, adresses IP et dates de naissance.

Les données exposées

• dates de naissance
• adresses IP
• numéros de téléphone
• adresses postales
• adresses email
• genres
• noms
• civilités

Les personnes touchées ne sont pas forcément concernées par chaque catégorie.

Le niveau de risque

Gravité modérée : ni mot de passe ni donnée bancaire, mais des données personnelles durablement exploitables.

Aucun mot de passe : rien à réinitialiser. Ce qu’il faut saisir, c’est l’échelle. Quatre cents colonnes par personne, ce n’est pas un fichier client : c’est un profil d’agrégateur, construit en recoupant des sources multiples pour dresser un portrait exploitable commercialement. Vous n’avez jamais rempli ce formulaire-là, et pourtant il existe. Deux conséquences concrètes. D’abord, un démarchage extrêmement bien renseigné devient possible, et avec lui des messages frauduleux difficiles à distinguer d’un contact légitime, puisqu’ils connaissent votre civilité, votre date de naissance et votre adresse. Ensuite, comme pour d’autres entrées du registre, l’attribution incertaine signifie qu’il n’y a pas d’entreprise identifiée à qui demander la suppression. Sur un forum de piratage, l’origine annoncée d’un lot est une affirmation, jamais une preuve.

Que faire si vous êtes concerné

1. Votre numéro de téléphone est potentiellement exposé. Vous pourriez recevoir des SMS ou des appels qui semblent vous connaître.
2. Votre nom et votre date de naissance sont potentiellement exposés. Ils ne peuvent pas être effacés d’Internet : un message qui les cite ne prouve donc pas qu’il est sérieux.
3. Des e-mails ou des SMS imitant Acuity peuvent utiliser vos vraies informations pour paraître crédibles : c’est ce qu’on appelle le phishing.
4. Par précaution, vous pouvez activer la double authentification sur votre boîte mail : c’est elle qui reçoit les liens « mot de passe oublié » de vos autres comptes.

Bon à savoir : vous pouvez signaler les tentatives d’arnaque : transférer les SMS frauduleux au 33700, signaler les e-mails sur signal-spam.fr et retrouver les bons réflexes sur cybermalveillance.gouv.fr.

Pour aller plus loin : Mon numéro de téléphone a fuité · Reconnaître les arnaques qui suivent une fuite · Mon adresse e-mail est dans une fuite : que faire ?