Des millions d'informations relatives à des crimes pourraient avoir été divulguées après qu'un hacker a affirmé avoir piraté les systèmes utilisés par les programmes « Crime Stoppers » et d'autres organisations à travers le monde.
L'affaire concerne P3 Global Intel, un fournisseur texan de logiciels de gestion des informations et des renseignements basés sur le cloud, détenu par Navigate360.
Les hacktivistes, connus sous le nom d’« Internet Yiff Machine », ont transmis les données volées à Straight Arrow News (SAN). Selon SAN, le groupe a fourni un ensemble de plus de 8,3 millions d'enregistrements qui auraient été récupérés auprès de P3. Ces données s'étendraient de 1987 à 2025 et comprendraient des informations sur des crimes transmises via les programmes Crime Stoppers, les forces de l'ordre, les écoles et certaines entités du gouvernement fédéral américain.
SAN a déclaré avoir vérifié certaines parties de l'ensemble de données en contactant les informateurs dont les coordonnées figuraient dans les documents. L'archive de fuites « Distributed Denial of Secrets » (DDoSecrets) a indiqué avoir également reçu une copie et avoir l'intention de la partager avec des journalistes et des chercheurs agréés.
Si ces données sont authentiques, elles semblent contenir de nombreuses informations personnelles sur les personnes mises en cause dans les signalements, notamment leurs noms, adresses, numéros de téléphone, dates de naissance, numéros d'immatriculation, numéros de sécurité sociale et autres identifiants. Bien que les supports marketing promettent aux informateurs que leur identité « restera anonyme à tout moment », SAN signale que les coordonnées personnelles de certains informateurs ayant fourni ces informations apparaissent également dans l'ensemble des données. Le cache contiendrait également des détails de comptes d'utilisateurs, des demandes d'assistance client, des bulletins internes des forces de l'ordre, ainsi que des identifiants de messages non cryptés et des mots de passe utilisés par les informateurs pour assurer le suivi de leurs signalements.
Navigate360, la société mère de P3, n'a pas confirmé l'existence d'une violation ni l'ampleur d'une éventuelle fuite de données. Dans une déclaration à SAN, JP Guilbault, PDG de Navigate360, a déclaré :
« À ce jour, nous n'avons pas constaté que des informations sensibles aient été consultées ou utilisées à mauvais escient. »
Toutefois, l'entreprise a fait appel à un prestataire externe spécialisé dans les enquêtes informatiques après avoir pris connaissance d'un éventuel incident réseau. Les systèmes de P3 resteraient opérationnels pendant que cette enquête se poursuit.
Les réactions des forces de l'ordre laissent penser qu'au moins certains usagers considèrent cet incident comme un risque sérieux, même en l'absence de confirmation technique définitive. Le Bureau de police de Portland, qui utilise Crime Stoppers, a publiquement conseillé aux habitants de « s'abstenir temporairement » d'envoyer des informations via la plateforme Crime Stoppers pendant que la situation fait l'objet d'un examen.
Dans un communiqué repris par les médias locaux et nationaux, le service a déclaré avoir pris connaissance d'informations faisant état d'une éventuelle fuite de données au sein d'un service tiers utilisé pour recueillir des signalements anonymes et qu'il demandait aux membres de la communauté, « par mesure de précaution », d'éviter d'utiliser ce service pour le moment. La police de Portland invite désormais les personnes souhaitant fournir des informations non anonymes à contacter directement le service.
« Anonyme » n'est pas une garantie technique
Selon SAN, P3 pourrait enregistrer des informations relatives aux sessions lors de la soumission d'informations par le Web ou via des appareils mobiles. Si tel est le cas, des personnes mal intentionnées pourraient potentiellement utiliser ces données pour aider à identifier les informateurs anonymes, ce qui souligne le fait que l'« anonymat » n'est pas une garantie technique. Bien qu'aucune méthode ne soit infaillible, les experts recommandent de suivre les étapes suivantes lors du signalement d'un crime :
- Utilisez un navigateur axé sur la confidentialité et un VPN fiable pour masquer votre véritable adresse IP.
- Évitez de mentionner des informations relatives qui pourraient permettre de vous identifier, telles que « mon voisin », « mon patron » ou « mon ex ».
- Si un formulaire de signalement demande vos coordonnées, demandez-vous si cela ne vous dérange pas que votre signalement ne soit plus anonyme.
- Supprimez les métadonnées des fichiers que vous téléchargez (photos, documents, vidéos), car celles-ci peuvent contenir des coordonnées GPS, des identifiants d'appareil et des horodatages.
Que faire si vos données ont été compromises ?
Si vous pensez avoir étévictime d'une violation de données, voici les mesures que vous pouvez prendre pour vous protéger :
- Vérifiez les conseils de l'entreprise.Chaque violation est différente, alors vérifiez auprès de l'entreprise pour savoir ce qui s'est passé et suivez les conseils spécifiques qu'elle vous donne.
- Changez votre mot de passe. Vous pouvez rendre un mot de passe volé inutilisable pour les voleurs en le modifiant. Choisissez un mot de passe fort que vous n'utilisez pour rien d'autre. Mieux encore, laissez un gestionnaire de mots de passe en choisir un pour vous.
- Activezl'authentification à deux facteurs (2FA).Si possible, utilisez une clé matérielle, un ordinateur portable ou un téléphone compatible FIDO2 comme deuxième facteur. Certaines formes de 2FA peuvent être piratées aussi facilement qu'un mot de passe, mais la 2FA qui repose sur un appareil FIDO2 ne peut pas être piratée.
- Méfiez-vous des imposteurs.Les voleurs peuvent vous contacter en se faisant passer pour la plateforme piratée. Consultez le site officiel pour vérifier s'il contacte les victimes et vérifiez l'identité de toute personne qui vous contacte via un autre canal de communication.
- Prenez votre temps. Les attaques de phishing usurpent souvent l'identité de personnes ou de marques que vous connaissez et utilisent des thèmes qui requièrent une attention urgente, tels que des livraisons manquées, des suspensions de compte et des alertes de sécurité.
- Envisagez de ne pas enregistrer les informations relatives à votre carte. Il est certes plus pratique de laisser les sites mémoriser ces informations, mais cela augmente les risques en cas de violation des données par un commerçant.
- Configurezla surveillance d'identité, qui vous alerte si vosinformations personnellessont trouvées illégalement en ligne et vous aide à récupérer vos données après coup.
Nous ne nous contentons pas de faire des rapports sur la protection de la vie privée, nous vous offrons la possibilité de l'utiliser.
Les risques liés Privacy ne devraient jamais dépasser le titre d'un article. Préservez votre vie privée en ligne en utilisant Malwarebytes Privacy VPN.
