Fuite de données Eye4Fraud

Eye4Fraud, c’est quoi ?

Eye4Fraud est un service de protection contre la fraude utilisé par des boutiques en ligne pour vérifier leurs commandes. Vous n’en avez jamais entendu parler, et c’est normal : vous y figurez probablement parce qu’une boutique où vous avez commandé s’en servait.

Ce qui s’est passé

En février 2023, des données présentées comme provenant du service de protection contre la fraude Eye4Fraud ont été mises en vente sur un forum de piratage.

Réparties sur des dizaines de millions de lignes, 147 tables et 65 Go, avec 16 millions d’adresses email uniques, les données concernent à la fois les utilisateurs directs du service et, semble-t-il, des personnes ayant passé commande sur d’autres sites qui utilisaient Eye4Fraud pour protéger leurs ventes.

Le lot comprend les noms et les mots de passe des utilisateurs, bien protégés, ainsi que les noms, numéros de téléphone, adresses postales et données de carte partielles (type et quatre derniers chiffres) des commandes passées via le service.

Eye4Fraud n’a pas répondu aux multiples tentatives de signalement de l’incident.

Les données exposées

• données bancaires partielles
• mots de passe
• adresses IP
• numéros de téléphone
• adresses postales
• adresses email
• noms

Les personnes touchées ne sont pas forcément concernées par chaque catégorie.

Le niveau de risque

Gravité élevée : la fuite contient des données bancaires partielles et des mots de passe.

Il faut d’abord résister à l’ironie facile : un service anti-fraude qui fuit n’est pas plus absurde qu’un autre, il vérifie des commandes, il ne garde pas des coffres. Ce qui importe est la structure du lot. Deux populations y cohabitent : les commerçants clients du service, dont les mots de passe bien protégés ont probablement tenu, et, de loin les plus nombreux, les acheteurs de ces commerçants, qui n’ont jamais eu de compte chez Eye4Fraud et dont les commandes ont été analysées à leur insu. Si vous êtes dans ce second cas, aucun mot de passe n’est en jeu, mais votre nom, votre adresse, votre téléphone et les derniers chiffres de votre carte circulent, associés à un achat. C’est exactement ce qu’il faut pour un faux message de suivi de commande ou un faux appel de banque. Et il n’y a pas d’entreprise à qui écrire : celle-ci n’a jamais répondu, et ce n’est de toute façon pas à elle que vous aviez confié vos données.

Que faire si vous êtes concerné

1. Si vous avez un compte sur Eye4Fraud (eye4fraud.com), pensez à changer votre mot de passe.
2. Si vous utilisiez le même mot de passe ailleurs, le plus important est de le changer partout.
3. Par précaution, vous pouvez activer la double authentification sur votre boîte mail et vos comptes sensibles.
4. Cette fuite contient des données bancaires. Sachez qu’une banque ne vous demandera jamais de déplacer votre argent par téléphone.
5. Votre numéro de téléphone est potentiellement exposé. Vous pourriez recevoir des SMS ou des appels qui semblent vous connaître.
6. Votre nom est potentiellement exposé. Il ne peut pas être effacé d’Internet : un message qui le cite ne prouve donc pas qu’il est sérieux.

Bon à savoir : vous pouvez signaler les tentatives d’arnaque : transférer les SMS frauduleux au 33700, signaler les e-mails sur signal-spam.fr et retrouver les bons réflexes sur cybermalveillance.gouv.fr.

Pour aller plus loin : Mon mot de passe est compromis : que faire ? · Mon numéro de téléphone a fuité · Reconnaître les arnaques qui suivent une fuite