Fuite de données chez Bombuj.eu

Les catégories de données vérifiées sont les adresses e-mail et les mots de passe. Une adresse e-mail permet aux attaquants de contacter directement l’utilisateur. Un mot de passe présent sous forme de hachage n’est pas nécessairement lisible en clair; toutefois, l’utilisation d’une méthode faible comme MD5 sans sel augmente la probabilité de retrouver les mots de passe faciles à deviner. L’exposition conjointe de ces deux champs expose l’utilisateur à des tentatives de prise de contrôle de ses comptes et à des messages d’hameçonnage ciblés.

Dans le cas de cette fuite, l’exposition du nom d’utilisateur ou d’autres informations de profil n’ayant pas été vérifiée, l’évaluation du risque doit surtout porter sur la réutilisation de la même combinaison d’adresse e-mail et de mot de passe. Utiliser cette même combinaison sur différentes plateformes permet aux attaquants de tenter de se connecter à d’autres comptes. Le risque doit être considéré comme plus élevé, en particulier si le même mot de passe est utilisé pour la messagerie, les réseaux sociaux, le stockage dans le cloud, les jeux et les achats en ligne.

Le périmètre vérifié de la fiche Bombuj.eu comprend 575 437 comptes uniques et deux catégories de données : les adresses e-mail et les mots de passe. Le fait que le champ du mot de passe contienne un hachage MD5 sans sel est important pour déterminer les mesures à prendre. En revanche, les données de carte de paiement, les pièces d’identité, les noms, les numéros de téléphone, les adresses postales, les messages privés et l’historique des contenus consultés ne sont pas des champs de données vérifiés pour cette fiche. Il convient de respecter ces limites afin de ne pas présenter la fuite comme plus étendue ou différente de ce qui a été vérifié.

Le nom du site et son nom de domaine ne doivent pas être confondus avec ceux d’autres services similaires. Cette fiche concerne le service de streaming de films associé au domaine bombuj.eu. Le décompte indiqué porte sur les comptes uniques touchés; le nombre de lignes ou d’enregistrements en double susceptibles de figurer dans différentes listes ne représente pas nécessairement la même chose. Les conseils de sécurité destinés aux utilisateurs doivent reposer sur le nombre de comptes et les types de données vérifiés.

Les utilisateurs les plus exposés sont ceux qui ont créé un compte Bombuj.eu avec une adresse e-mail et un mot de passe, puis réutilisé ce même mot de passe sur d’autres services. Si ce mot de passe a été utilisé pour des comptes sur des sites de vidéos en ligne, des forums, des jeux ou des réseaux sociaux, cette fuite pourrait permettre aux attaquants de l’essayer sur d’autres plateformes. Même un mot de passe utilisé pour un compte ancien ou oublié présente encore un risque s’il reste valide sur un autre compte.

Lorsqu’ils s’inscrivent sur des sites proposant des contenus gratuits, les utilisateurs préfèrent souvent utiliser leur adresse e-mail principale et des mots de passe faciles à retenir. Cette habitude accroît le risque lorsque la combinaison adresse e-mail et mot de passe est exposée. Les personnes qui s’inscrivent sur de nombreux sites avec la même adresse e-mail, n’utilisent pas de gestionnaire de mots de passe ou conservent un même modèle de mot de passe en y apportant de légères modifications devraient examiner cette fiche avec une attention particulière.

Les utilisateurs concernés par cette fiche devraient essayer de se souvenir du mot de passe utilisé pour leur compte Bombuj.eu et modifier le mot de passe de tous les comptes qui utilisent ce même mot de passe ou une variante similaire. La priorité devrait être donnée aux comptes de messagerie, aux services bancaires et de paiement, aux réseaux sociaux, au stockage dans le cloud et aux comptes professionnels. Pour chaque compte, il est préférable d’utiliser un mot de passe long et unique, enregistré dans un gestionnaire de mots de passe.

L’adresse e-mail ayant été exposée, il convient de se méfier des faux messages de réinitialisation de mot de passe, des notifications qui ressemblent à des alertes de sécurité et des messages d’hameçonnage liés aux plateformes de contenus. Plutôt que de se connecter en suivant les liens reçus, il faut accéder directement au service concerné, ne pas ouvrir les pièces jointes inattendues et activer l’authentification à deux facteurs pour les comptes critiques. Les anciens modèles de mots de passe ne devraient plus être utilisés, et l’historique des sessions devrait être vérifié pour les comptes importants.

L’incident Bombuj.eu montre que les services en ligne qui semblent de petite taille ou à vocation régionale peuvent eux aussi présenter des risques sérieux pour la sécurité des mots de passe. Au lieu d’utiliser leur adresse e-mail principale sur chaque formulaire d’inscription, les utilisateurs devraient mieux organiser la gestion de leurs comptes, générer un mot de passe unique pour chaque service et fermer les comptes qu’ils n’utilisent plus. Conserver un même modèle de mot de passe en y apportant de légères modifications permet aux fuites passées de continuer à produire des effets à l’avenir.

Pour les entreprises, ce type de fiche met en évidence la possibilité que des employés réutilisent les mots de passe de leurs comptes personnels dans les systèmes professionnels. Il convient de combiner des mesures empêchant la réutilisation des mots de passe, des vérifications visant à repérer les mots de passe divulgués, l’authentification multifacteur et des actions régulières de sensibilisation. Une fuite d’adresses e-mail et de mots de passe qui semble simple peut avoir des répercussions sur des comptes plus critiques lorsque les identifiants sont réutilisés.

Une correspondance avec une adresse e-mail dans cette fiche indique que l’adresse concernée figure dans les données de Bombuj.eu. L’utilisateur devrait d’abord déterminer quel mot de passe il utilisait pour ce compte et vérifier si ce même mot de passe ou des variantes similaires sont encore valides pour d’autres comptes. Même s’il ne se souvient pas du mot de passe, les anciens modèles de mots de passe utilisés en 2018 et auparavant devraient être considérés comme risqués.

Une correspondance ne prouve pas que le mot de passe est nécessairement lisible par tout le monde; toutefois, l’exposition de hachages de mots de passe MD5 sans sel suffit à justifier des mesures de sécurité. Le risque de prise de contrôle de comptes et d’hameçonnage lié à cette fuite est considérablement réduit lorsque plusieurs mesures sont appliquées conjointement : utilisation de mots de passe uniques, authentification à deux facteurs, examen attentif des alertes reçues par e-mail et fermeture des anciens comptes.