Fuite de données Deezer : ce qui a fuité et que faire

Les données exposées

Have I Been Pwned liste 8 types de données dans cette fuite. En rouge, celles qui permettent d'agir directement à votre place.

• dates de naissance
• adresses e-mail
• genres
• localisations géographiques
• adresses IP
• noms
• langues parlées
• noms d'utilisateur

Nous classons cette fuite comme sérieuse : elle ne contient ni mot de passe ni donnée bancaire, mais des informations (téléphone, adresse, date de naissance…) qui rendent les arnaques beaucoup plus crédibles. Un fraudeur qui connaît ces détails peut se faire passer pour un conseiller ou un livreur.

Ce que l'on sait de cette fuite

Fin 2022, le service d’écoute de musique en ligne Deezer a révélé une fuite touchant plus de 240 millions de clients. D’après Have I Been Pwned, les données provenaient d’une sauvegarde du milieu de l’année 2019. Cette copie des informations avait été exposée par un partenaire externe. La date des données et celle de la révélation de la fuite sont donc différentes.

La sauvegarde a ensuite été vendue, puis largement redistribuée sur un forum de piratage. Elle contenait environ 229 millions d’adresses e-mail distinctes. Les informations exposées comprenaient aussi des adresses IP, des noms, des noms d’utilisateur, le genre et des dates de naissance. Les adresses IP sont des identifiants de connexion à un réseau.

La localisation géographique et les langues parlées figuraient également parmi les données. L’ensemble pouvait ainsi associer l’identité d’un compte à des renseignements personnels et géographiques.

Que faire maintenant

Ces gestes sont choisis selon les données réellement exposées. Faites-les dans l'ordre : les premiers sont les plus urgents.

1. Vérifiez si votre adresse est concernéeSaisissez votre adresse e-mail sur haveibeenpwned.com (service gratuit, créé par Troy Hunt). Notre site ne vous la demandera jamais. Vérifier sur haveibeenpwned.com
2. Activez la double authentificationMême si quelqu'un connaît votre mot de passe, il lui faudra aussi le code reçu sur votre téléphone ou dans une application. Commencez par votre messagerie : c'est elle qui permet de réinitialiser tous les autres comptes. Fiches double authentification
3. Méfiez-vous des e-mails qui citent cette fuiteDes messages frauduleux reprennent souvent les vraies informations d'une fuite (nom, service, date d'achat) pour paraître crédibles. Ne cliquez pas sur un lien reçu : rendez-vous vous-même sur le site officiel.
4. Gardez ces informations pour vous lors des appelsVotre adresse et votre date de naissance servent souvent de « preuve » d'identité au téléphone. Un interlocuteur qui les connaît n'est pas forcément légitime.
5. Connaissez vos droitsSi le service est établi dans l'Union européenne, il doit notifier la fuite à l'autorité de protection des données (la CNIL en France) et, en cas de risque élevé, vous prévenir. Vous pouvez lui demander quelles données vous concernant ont été touchées. Adresser une plainte à la CNIL

Cette fuite en perspective

La fuite date du 22 avril 2019, mais elle n'a été ajoutée à Have I Been Pwned que le 2 janvier 2023, soit environ 44 mois plus tard. Pendant ce délai, les données ont pu circuler sans que les clients le sachent : c'est pourquoi changer un mot de passe ancien reste utile.

Avec 229 037 936 comptes, elle se place au 9e rang des 440 fuites de notre liste par nombre de comptes. Notre liste recense 42 autres fuites datées de 2019.

Pour ne plus subir les fuites mais les anticiper, le parcours Vie privée, ceinture verte explique en huit leçons comment limiter les données que vous confiez, et nos fiches sécurité montrent pas à pas comment activer la double authentification sur vos comptes.