Beaucoup de personnes utilisent les applications de rencontre. Si c'est votre cas, vous avez peut-être été victime de cette cyberattaque.
Les cyberattaques sont aujourd'hui devenues légion, pouvant toucher autant les entités publiques (comme France Travail) que privées. Et dans ce domaine, personne n'est en sécurité, comme on peut le voir avec ce qui s'est passé pour des applications aujourd'hui très anodines, et que l'on retrouve dorénavant au sein des smartphones de nombreuses personnes.
Les plus grandes applications de rencontre victimes de ces hacks
Les applications de rencontre ont été clairement dans le viseur des hackers durant ce mois de janvier. Car plusieurs viennent de témoigner avoir été victimes de cyberattaques, comme nous le rapporte Bloomberg.
D'après ce dernier, le groupe Bumble, qui possède les applications Bumble et Badoo, a confirmé que le compte de l'un de ses sous-traitants « a récemment été compromis dans le cadre d'une attaque de phishing. » La direction du groupe affirme que les hackers n'auraient pas eu accès à la base de données des membres, ni aux comptes, messages et profils des utilisateurs.
Le groupe Match, à la tête notamment de Tinder, Hinge ou bien OkCupid, a aussi été la cible d'une attaque par phishing. Dans ce cas, la direction a admis que les pirates auraient pu accéder à « une quantité limitée de données utilisateur ».
Le coupable ? Les Shiny Hunters
Et il y aurait un seul coupable à cette vague de cyberattaques, qui a aussi touché d'autres acteurs du domaine. Comme le rapporte Bloomberg, il pourrait s'agit ici du groupe Shiny Hunters, qui a revendiqué ces attaques, même si le média n'a pas pu confirmer de son côté leur responsabilité. Des pirates disant appartenir à ce groupe ont déjà approchés des victimes, pour tenter de leur extorquer de l'argent.
À noter que la filiale de Google spécialisée dans la cybersécurité, Mandiant, a lancé l'alerte la semaine dernière contre les Shiny Hunters. Ces derniers utiliseraient des nouvelles techniques de « vishing », des attaques par hameçonnage basées sur des arnaques vocales et des reproductions de voix.
Source : Bloomberg
Le phishing consiste à tromper une personne (souvent via e-mail ou messagerie) pour lui faire révéler ses identifiants ou valider une action malveillante. Quand la cible est un sous-traitant, l’attaquant exploite un maillon plus faible qui dispose malgré tout d’accès à des outils internes (support, CRM, tableaux d’administration, cloud). C’est une forme d’attaque de la chaîne d’approvisionnement : l’accès indirect peut suffire à consulter des données, réinitialiser des mots de passe ou créer des sessions. La gravité dépend des droits accordés au compte compromis (lecture seule, admin, accès aux exports). Même sans « base de données » exposée, des informations peuvent fuiter via des interfaces internes ou des journaux d’activité.
Que signifie “une quantité limitée de données utilisateur” dans une fuite liée à une application de rencontre ?Cette formule recouvre généralement un périmètre restreint : par exemple des métadonnées de compte (e-mail, numéro partiellement masqué, identifiants techniques), des informations de profil non sensibles, ou des tickets de support. Elle peut aussi désigner un échantillon de données accessible via un outil interne, sans exfiltration complète de la base principale. La limite peut être liée à des contrôles d’accès, au cloisonnement des systèmes ou au fait que l’attaque a été détectée tôt. Sans précision, il faut distinguer données de contenu (messages, photos, préférences) et données de compte (coordonnées, historique de connexion), dont les risques ne sont pas les mêmes. Dans tous les cas, une fuite « limitée » peut suffire à alimenter du chantage, du doxxing ou des campagnes d’hameçonnage ciblées.
Qu’est-ce que le “vishing” et en quoi la reproduction de voix change la donne pour l’hameçonnage ?Le vishing est une variante du phishing où l’attaque se fait par téléphone ou via des canaux vocaux (appels, messageries vocales, services VoIP). L’objectif reste le même : obtenir des codes temporaires, pousser à installer un logiciel, ou faire valider une connexion sur un service sensible. La reproduction de voix (clonage vocal) peut renforcer l’ingénierie sociale en imitant un collègue, un prestataire ou un responsable, ce qui augmente la probabilité d’obéissance et réduit les signaux d’alerte. Ces scénarios visent souvent les procédures de récupération de compte, l’authentification multifacteur (MFA) et les services d’assistance internes. Les contre-mesures reposent sur des procédures de vérification hors canal (rappel via un numéro connu, mot de passe d’assistance, validation via outil interne), plutôt que sur la “reconnaissance” de la voix.
