Fuite de données Bourse des Vols : ce qui a fuité et que faire

Les données exposées

Have I Been Pwned liste 8 types de données dans cette fuite. En rouge, celles qui permettent d'agir directement à votre place.

• dates de naissance
• adresses e-mail
• vols effectués
• adresses IP
• noms
• numéros de téléphone
• adresses postales
• achats

Nous classons cette fuite comme sérieuse : elle ne contient ni mot de passe ni donnée bancaire, mais des informations (téléphone, adresse, date de naissance…) qui rendent les arnaques beaucoup plus crédibles. Un fraudeur qui connaît ces détails peut se faire passer pour un conseiller ou un livreur.

Ce que l'on sait de cette fuite

En janvier 2021, la société française de voyages Bourse des Vols a subi une fuite de données. D’après Have I Been Pwned, environ 1,46 million d’adresses e-mail distinctes figuraient dans plus de 1 200 fichiers .sql. Ces fichiers contiennent des données de bases de données. L’ensemble représentait plus de 9 Go, c’est-à-dire plus de neuf gigaoctets de données.

Les informations exposées comprenaient des noms, des numéros de téléphone et des adresses postales. Elles incluaient également des dates de naissance et des adresses IP, qui sont des identifiants de connexion à un réseau. L’identité et plusieurs coordonnées personnelles figuraient ainsi dans les fichiers.

La fuite portait aussi sur les historiques de voyage : les vols effectués et les achats faisaient partie des informations exposées. Pour les clients concernés, l’ensemble pouvait donc associer des renseignements personnels à leurs déplacements et à leurs achats de voyages.

Que faire maintenant

Ces gestes sont choisis selon les données réellement exposées. Faites-les dans l'ordre : les premiers sont les plus urgents.

1. Vérifiez si votre adresse est concernéeSaisissez votre adresse e-mail sur haveibeenpwned.com (service gratuit, créé par Troy Hunt). Notre site ne vous la demandera jamais. Vérifier sur haveibeenpwned.com
2. Activez la double authentificationMême si quelqu'un connaît votre mot de passe, il lui faudra aussi le code reçu sur votre téléphone ou dans une application. Commencez par votre messagerie : c'est elle qui permet de réinitialiser tous les autres comptes. Fiches double authentification
3. Méfiez-vous des e-mails qui citent cette fuiteDes messages frauduleux reprennent souvent les vraies informations d'une fuite (nom, service, date d'achat) pour paraître crédibles. Ne cliquez pas sur un lien reçu : rendez-vous vous-même sur le site officiel.
4. Attendez-vous à des SMS et appels frauduleuxFaux livreur, faux conseiller bancaire, faux service client : raccrochez et rappelez le numéro officiel. En France, signalez les SMS frauduleux en les transférant au 33700.
5. Gardez ces informations pour vous lors des appelsVotre adresse et votre date de naissance servent souvent de « preuve » d'identité au téléphone. Un interlocuteur qui les connaît n'est pas forcément légitime.
6. Connaissez vos droitsSi le service est établi dans l'Union européenne, il doit notifier la fuite à l'autorité de protection des données (la CNIL en France) et, en cas de risque élevé, vous prévenir. Vous pouvez lui demander quelles données vous concernant ont été touchées. Adresser une plainte à la CNIL

Cette fuite en perspective

Entre le piratage (12 janvier 2021) et son ajout à Have I Been Pwned (3 juillet 2022), il s'est écoulé environ 18 mois. Ce décalage est courant : les fichiers volés sont souvent revendus discrètement avant d'être publiés.

Avec 1 460 130 comptes, elle se place au 351e rang des 440 fuites de notre liste par nombre de comptes. Notre liste recense 32 autres fuites datées de 2021.

Pour ne plus subir les fuites mais les anticiper, le parcours Vie privée, ceinture verte explique en huit leçons comment limiter les données que vous confiez, et nos fiches sécurité montrent pas à pas comment activer la double authentification sur vos comptes.