Une fuite de données chez Paidwork, une plateforme qui rémunère les utilisateurs à hauteur de petits montants pour effectuer des micro-tâches en ligne, a entraîné la divulgation d'informations personnelles et financières concernant plus de 23 millions d'utilisateurs.
D'après les rapports publics relatifs à cette violation, l'intrusion a eu lieu en mars 2026, et la base de données volée a été mise en vente pour la première fois en avril sur un forum dédié à la cybercriminalité sous la forme d'un fichier de 11 Go qui aurait été extrait des systèmes de production de Paidwork.
Les données exposées comprendraient notamment les noms et prénoms complets, les adresses e-mail et postales, les numéros de téléphone, les dates de naissance, le sexe, les informations relatives à la formation, les numéros de compte bancaire, l'historique des transactions, les informations relatives aux appareils et aux adresses IP, les photos de profil, les centres d'intérêt et les mots de passe stockés sous forme de hachages.
Cela représente beaucoup d'informations sensibles à confier à un site qui, pour de nombreux utilisateurs, ne rapporte que quelques centimes par tâche.
Pourquoi ce type de violation est-il préoccupant ?
Pour les cybercriminels, un ensemble de données comme celui-ci constitue une véritable mine d'or pour le phishing ciblé, le piratage de comptes et l'usurpation d'identité. Les coordonnées bancaires et l'historique des transactions peuvent être exploités directement, tandis que les combinaisons d'adresses e-mail, de hachages de mots de passe et de données personnelles facilitent considérablement le « credential stuffing » et l'ingénierie sociale. Même si les mots de passe ont été hachés avec bcrypt, les mots de passe faibles ou réutilisés peuvent toujours être piratés et testés ailleurs.
De nombreux utilisateurs de Paidwork se sont sans doute inscrits avec une adresse e-mail « jetable » et un mot de passe réutilisé, pensant que le risque était faible car les montants en jeu étaient dérisoires. Mais les pirates s’en moquent bien de savoir combien vous avez gagné. Ce qui les intéresse, c’est de savoir combien ils peuvent gagner en exploitant vos données.
Des données pour quelques centimes, un risque pour des années
Avant tout, cette fuite nous rappelle qu'il faut faire preuve d'esprit critique quant aux personnes à qui l'on communique ses données personnelles.
Avant de communiquer votre nom complet, votre adresse personnelle, votre date de naissance et vos coordonnées bancaires à un site qui ne vous verse que quelques centimes par tâche, demandez-vous si le jeu en vaut vraiment la chandelle.
Si un service vous demande des données sensibles, vérifiez les engagements qu’il prend en matière de sécurité et de confidentialité, s’il offre une assistance efficace en cas de violation de données, et si vous pouvez limiter les informations que vous partagez au strict minimum nécessaire. En cas de doute, réservez les données de grande valeur, telles que vos coordonnées bancaires et les copies de vos pièces d’identité, aux organisations qui en ont réellement besoin et qui peuvent être tenues pour responsables en cas de manquement à leur obligation de protection.
Vérifiez si vos données ont été exposées
Bien que Paidwork n'ait pas officiellement reconnu cette violation présumée, les données volées circuleraient dans les milieux criminels, et nous les avons répertoriées dans notre Digital Footprint Scanner afin que vous puissiez vérifier si vos informations ont été exposées.
Utilisez notre Digital Footprint Scanner pour vérifier si votre adresse e-mail figure dans des bases de données de fuites connues, y compris celles liées à cet incident. Si c'est le cas, considérez cela comme une invitation à agir plutôt que comme un motif de panique :
- Modifiez votre mot de passe sur Paidwork (si vous utilisez toujours ce service) ainsi que sur tous les autres comptes pour lesquels vous avez utilisé le même mot de passe ou un mot de passe similaire.
- Activez l'authentification multifactorielle (MFA) dans la mesure du possible, en particulier pour vos comptes de messagerie, bancaires et autres comptes importants, et envisagez d'utiliser un gestionnaire de mots de passe pour générer et stocker des mots de passe uniques pour chaque site.
- Vérifiez vos relevés bancaires afin de détecter d'éventuels prélèvements inattendus ou toute activité suspecte.
- Méfiez-vous des e-mails, SMS et appels téléphoniques de type « hameçonnage ». Les cybercriminels peuvent utiliser les informations divulguées pour rendre leurs escroqueries plus convaincantes.
- Envisagez de souscrire à un service de surveillance de l'identité ou de protection contre l'usurpation d'identité.
Que savent les cybercriminels à votre sujet ?
Utilisez l'analyse gratuite Digital Footprint Malwarebytes pour vérifier si vos informations personnelles ont été exposées en ligne.
