Fuite de données chez BlackBerry Fans

Les catégories de données vérifiées sont les adresses e-mail, les adresses IP, les noms d’utilisateur et les mots de passe. Une adresse e-mail seule peut sembler présenter peu de risques; toutefois, lorsqu’elle est associée à un nom d’utilisateur et à un mot de passe, elle permet plus facilement à un attaquant de rapprocher des comptes et de deviner des mots de passe. Les adresses IP peuvent donner des indications sur la région approximative depuis laquelle un utilisateur se connecte, ses habitudes d’accès aux services ou le lieu d’une session antérieure. Ces informations peuvent notamment permettre de relier des identités en ligne chez les utilisateurs qui emploient le même pseudonyme depuis longtemps dans des communautés technologiques.

Le stockage du champ de mot de passe sous forme d’empreinte MD5 salée est un détail technique important. L’utilisation d’un sel réduit la probabilité que des utilisateurs ayant le même mot de passe obtiennent une empreinte identique; cependant, comme les calculs MD5 sont très rapides, il est possible en pratique de retrouver les mots de passe faibles, courts ou déjà présents dans d’autres jeux de données. Le risque ne se limite donc pas au compte BlackBerry Fans lui-même. Si vous avez utilisé la même adresse e-mail et le même mot de passe sur d’autres forums, sites marchands, réseaux sociaux ou comptes de messagerie, des attaquants peuvent tenter d’accéder à ces différents services par des essais systématiques, mais non automatisés.

Les nombres de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas considérés comme faisant partie du périmètre public de l’incident. Les noms, numéros de téléphone, données de cartes de paiement, adresses postales, contenus de messages privés et informations figurant sur des pièces d’identité officielles ne font pas partie des champs vérifiés. L’évaluation des risques présentée aux utilisateurs doit donc reposer uniquement sur les champs vérifiables.

Il faut également noter que l’incident ne concerne pas les systèmes de l’entreprise BlackBerry, mais un nom de domaine appartenant à une communauté indépendante de passionnés. Le nom de domaine retenu dans cette fiche est blackberryfans.org; aucune allégation directe de compromission ne doit viser les appareils BlackBerry, les produits de l’entreprise ou les services de sécurité associés. Cette distinction évite à la fois les enregistrements en double et les démarches inutiles auprès d’une entreprise ou d’un service qui n’est pas concerné.

Les utilisateurs les plus exposés sont ceux qui réutilisent sur d’autres comptes l’adresse e-mail et le mot de passe employés sur BlackBerry Fans. Pour ces personnes, si leur empreinte de mot de passe est cassée ou correspond à des listes de mots de passe déjà connus, des tentatives de connexion à d’autres comptes peuvent avoir lieu. Le risque de rapprochement d’identités augmente également pour les personnes qui utilisent le même nom d’utilisateur depuis des années sur des forums technologiques, dans des communautés de développeurs ou sur des profils de réseaux sociaux.

Les membres de communautés consacrées à d’anciens appareils oublient souvent les comptes qu’ils ont créés des années auparavant. Lorsqu’ils reçoivent une notification de fuite de données, ils peuvent ainsi sous-estimer l’importance que conserve leur compte. Pourtant, si le mot de passe d’un ancien compte de forum est identique à celui de la messagerie ou d’un autre compte principal, le risque reste actuel. Les personnes qui se sont inscrites avec une adresse e-mail personnelle, qui ont utilisé un mot de passe ancien et court ou qui n’utilisent pas l’authentification à deux facteurs doivent être particulièrement vigilantes.

Si vous connaissez encore le mot de passe utilisé pour votre compte BlackBerry Fans, changez-le sur tous les comptes où vous utilisez un mot de passe identique ou similaire. Donnez la priorité aux comptes de messagerie, aux réseaux sociaux, au stockage dans le cloud, aux services utilisés pour des transactions financières et aux comptes professionnels. Privilégiez un mot de passe long et unique pour chaque compte, conservé dans un gestionnaire de mots de passe. Si l’ancien compte est accessible, changez également son mot de passe et, si possible, fermez les sessions actives.

Soyez vigilant face aux messages d’hameçonnage, car l’adresse e-mail et le nom d’utilisateur ont été exposés ensemble. Des messages portant sur BlackBerry, l’assistance pour d’anciens appareils, les comptes de forum, les réinitialisations de mot de passe ou les alertes de sécurité peuvent paraître crédibles. Accédez directement au service concerné depuis votre navigateur plutôt que de cliquer sur des liens, n’ouvrez pas les fichiers reçus dans des messages et vérifiez que vous êtes bien à l’origine des demandes de réinitialisation de mot de passe. Activez l’authentification à deux facteurs sur vos comptes essentiels.

Cet incident montre que les anciens comptes communautaires doivent eux aussi figurer dans l’inventaire des comptes à sécuriser. Passez régulièrement en revue les forums, les communautés consacrées à des appareils et les services spécialisés auxquels vous vous êtes inscrit au fil des années. Fermez les comptes que vous n’utilisez plus, attribuez des mots de passe uniques à ceux qui ne peuvent pas être fermés et retirez les détails superflus des informations de profil. Si vous devez utiliser le même pseudonyme sur plusieurs sites, gardez à l’esprit qu’il peut être relié à votre identité personnelle.

Des salariés peuvent avoir utilisé leur adresse e-mail professionnelle dans de telles communautés. Il convient donc de combiner une politique empêchant la réutilisation des mots de passe, l’authentification multifacteur, la vérification des mots de passe divulgués et des formations régulières de sensibilisation à la sécurité. Même lorsqu’une fuite touche un petit site communautaire, l’utilisation des mêmes identifiants ailleurs peut avoir des répercussions plus larges.

Même si vous ne vous souvenez plus du mot de passe, modifiez les mots de passe qui reprennent les schémas que vous utilisiez avant 2022. Examinez tout particulièrement les comptes ouverts avec la même adresse e-mail que vous n’avez pas utilisés depuis longtemps.

La détection d’une correspondance lors de la vérification ne signifie pas nécessairement que le mot de passe a été obtenu en clair; toutefois, l’exposition d’empreintes de mots de passe constitue à elle seule un signal d’alerte suffisant en matière de sécurité. La démarche la plus appropriée consiste à rendre chaque mot de passe unique, à utiliser l’authentification à deux facteurs sur les comptes importants, à examiner attentivement les notifications et les messages de réinitialisation reçus, et à passer en revue les autres profils associés au même nom d’utilisateur. Ces mesures réduisent sensiblement le risque de prise de contrôle de comptes et de fraude ciblée découlant de la fuite de données de BlackBerry Fans.