Fuite de données Paidwork : 23 millions d'utilisateurs exposés, coordonnées bancaires et mots de passe en ligne

• Identifiants personnels : Noms complets, adresses e-mail, numéros de téléphone, adresses personnelles, dates de naissance, sexe, niveaux d'éducation et photos de profil
• Données financières : Numéros de compte bancaire, historique des transactions financières, relevés de paiement et, pour certains utilisateurs, détails PayPal et adresses de portefeuille de crypto-monnaies
• Identifiants de compte : Mots de passe hachés avec bcrypt (un hachage fort et lent), ainsi que les adresses IP et les informations sur les appareils
• Données de la plateforme : Centres d'intérêt personnels et détails du profil utilisateur

Troy Hunt a noté qu'environ 35 % des adresses e-mail étaient déjà dans HIBP suite à des fuites précédentes, et que les mots de passe hachés avec bcrypt — bien qu'ils ne soient pas en texte clair — sont le seul champ que les attaquants peuvent raisonnablement tenter de craquer hors ligne .

Chronologie et traitement des données

Risques pour les utilisateurs concernés

• Fraude financière. Les numéros de compte bancaire, les informations PayPal et les détails des portefeuilles crypto sont directement exposés, exposant les utilisateurs à des risques de transactions non autorisées, de prise de contrôle de comptes et de vol ciblé .
• Phishing et ingénierie sociale. Avec les noms, adresses e-mail, numéros de téléphone, adresses personnelles et historique des transactions réunis dans un même ensemble de données, les attaquants peuvent élaborer des e-mails, SMS ou appels de phishing très convaincants, se faisant passer pour Paidwork ou une institution financière .
• Credential stuffing. Toute personne ayant réutilisé son mot de passe Paidwork sur d'autres sites risque une prise de contrôle de compte sur ces plateformes. Bien que le hachage bcrypt rende le craquage des mots de passe en masse lent, les mots de passe faibles ou courants restent vulnérables .
• Usurpation d'identité. La combinaison du nom complet, de la date de naissance, de l'adresse, du téléphone et des données financières est suffisante pour une fraude d'identité dans de nombreuses juridictions .

Mesures de sécurité recommandées pour les utilisateurs concernés

1. Changez immédiatement votre mot de passe Paidwork — et changez le même mot de passe sur tout autre site où vous l'avez réutilisé . Utilisez un mot de passe unique et fort pour chaque service.

2. Activez l'authentification à deux facteurs (2FA) sur votre compte Paidwork et sur tout autre compte qui la prend en charge. Privilégiez une application d'authentification plutôt que la 2FA par SMS .

3. Surveillez attentivement vos comptes financiers. Vérifiez vos comptes bancaires, PayPal et portefeuilles crypto pour détecter des transactions non autorisées. Signalez toute activité suspecte à votre banque ou fournisseur de paiement immédiatement .

4. Méfiez-vous des tentatives de phishing. Soyez particulièrement méfiant envers les e-mails, appels ou SMS non sollicités faisant référence à Paidwork ou à vos comptes financiers. Ne cliquez pas sur les liens dans les messages inattendus — accédez directement au site officiel à la place .

5. Vérifiez si votre e-mail a été impliqué dans la fuite sur haveibeenpwned.com .

6. Placez une alerte à la fraude ou un gel de votre crédit auprès des principales agences d'évaluation du crédit (Equifax, Experian, TransUnion) si vous êtes aux États-Unis, d'autant plus que les numéros de compte bancaire ont été exposés .

7. Effectuez une analyse d'exposition au doxxing (par exemple, DoxxScan) pour cartographier quels de vos pseudos, e-mails et numéros de téléphone sont liés dans les données divulguées .