Boxee Fuite de données

La présence d'adresses e-mail, de noms d'utilisateur, d'adresses IP, de dates de naissance, de localisations géographiques, d'identifiants de messagerie instantanée, d'adresses web des utilisateurs, de mots de passe, d'anciens mots de passe et de messages privés a été vérifiée dans la fuite de Boxee. Ces données peuvent servir à rapprocher des comptes à partir des adresses e-mail et des noms d'utilisateur. Les identifiants de messagerie instantanée et les adresses web des utilisateurs peuvent faciliter l'association d'une personne à d'autres profils. Les champs d'adresse IP et de localisation fournissent des éléments de contexte sur les sessions antérieures ou les accès selon la région.

La présence de messages privés et d'historiques de mots de passe accroît le risque. Les messages privés peuvent contenir de la correspondance personnelle, des liens ou des informations concernant des tiers. Comme l'historique des mots de passe peut révéler les schémas de construction précédemment utilisés par une personne, le mot de passe en vigueur au moment de la fuite n'est pas le seul à présenter un risque : les variantes utilisées auparavant doivent aussi être considérées comme risquées. Si le même mot de passe ou un schéma similaire est utilisé sur d'autres comptes, des tentatives de prise de contrôle de ces comptes peuvent avoir lieu.

Le périmètre vérifié de cette fiche comprend 158 093 comptes et dix catégories de données : dates de naissance, adresses e-mail, localisations géographiques, anciens mots de passe, identifiants de messagerie instantanée, adresses IP, mots de passe, messages privés, URL des sites web des utilisateurs et noms d'utilisateur. Les numéros de téléphone, les cartes de paiement, les adresses postales et les pièces d'identité officielles ne font pas partie des champs de données vérifiés pour cette fiche. La description doit se limiter aux données du forum Boxee.

Le logiciel de centre multimédia de Boxee et son écosystème d'appareils doivent être distingués des données des membres du forum. Cette fiche ne prouve pas que la bibliothèque multimédia stockée sur les appareils ou l'historique de visionnage télévisuel ont été divulgués. La fuite concerne la base de données du forum, et les mesures proposées à l'utilisateur doivent être définies en fonction de son compte sur le forum, de la sécurité de sa messagerie, du contenu de ses messages privés et de son historique de mots de passe.

Les utilisateurs qui réutilisent sur d'autres comptes le mot de passe de leur compte sur le forum Boxee font partie du groupe le plus exposé. Un même nom d'utilisateur, identifiant de messagerie instantanée ou adresse de site web personnel peut être utilisé pendant des années sur d'anciens forums consacrés aux centres multimédias et à la technologie. Cette situation peut faciliter le rapprochement de profils de différentes périodes et rendre plus visible l'historique des activités en ligne de l'utilisateur.

Les utilisateurs dont les messages privés figurent dans les données sont également exposés à un risque pour leur vie privée. Si ces messages contiennent des informations personnelles, des liens vers des comptes, des configurations d'appareils, des comptes de réseaux sociaux ou des informations concernant des tiers, ces éléments doivent être évalués séparément. Même si le forum n'est plus utilisé activement, les anciens schémas de construction des mots de passe et les liens entre profils présentent encore un risque pour d'autres comptes.

Les utilisateurs pour lesquels une correspondance a été trouvée doivent d'abord identifier le mot de passe qu'ils utilisaient sur le forum Boxee et déterminer s'ils l'ont réutilisé sur d'autres comptes. Puisque d'anciens mots de passe ont également été exposés, il faut abandonner non seulement le dernier mot de passe, mais aussi les anciens schémas de construction. Le passage à des mots de passe uniques doit concerner en priorité les comptes de messagerie, de réseaux sociaux, de forums, de développeurs, de stockage dans le cloud et les comptes professionnels.

Il convient d'examiner les liens partagés dans les messages privés, les adresses web personnelles, les identifiants de messagerie instantanée et les informations concernant des tiers. Les utilisateurs doivent se méfier des messages prenant pour prétexte la sécurité des comptes, d'anciennes notifications du forum ou des mises à jour logicielles d'appareils. Plutôt que de se connecter à partir de liens reçus, il faut accéder directement au service concerné, activer la vérification en deux étapes sur les comptes critiques et mettre à jour les informations de récupération des comptes.

L'incident de Boxee montre que les anciens forums technologiques et les communautés de produits abandonnés peuvent eux aussi présenter un risque durable pour la sécurité. Les utilisateurs doivent régulièrement passer en revue les comptes qu'ils n'utilisent plus sur les forums et dans les communautés consacrées aux appareils. Les comptes qui peuvent être fermés doivent l'être; ceux qui ne peuvent pas l'être doivent utiliser des mots de passe uniques. Les adresses de sites web personnels, les identifiants de messagerie et les informations de localisation inutiles ne doivent pas être conservés dans les champs du profil.

Pour les administrateurs de forums, de tels incidents montrent que les anciennes tables de base de données, les archives de messages privés et les historiques de mots de passe doivent être gérés en tenant compte de leurs durées de conservation. Côté utilisateurs, l'utilisation d'un gestionnaire de mots de passe, la vérification de l'exposition des mots de passe dans des fuites, l'authentification multifacteur et le nettoyage des anciens comptes doivent être mis en œuvre ensemble. Une fuite comprenant des historiques de mots de passe rend également les anciennes habitudes risquées.

Une correspondance trouvée avec une adresse e-mail dans cette fiche indique que l'utilisateur figure dans le jeu de données du forum Boxee. Il doit d'abord déterminer quels nom d'utilisateur, mot de passe et informations de profil il utilisait sur le forum, puis vérifier si le même nom d'utilisateur, identifiant de messagerie instantanée ou adresse web est associé à d'autres comptes. En raison de la présence d'historiques de mots de passe, les anciennes variantes ne doivent plus être utilisées.

Une correspondance ne signifie pas que les contenus multimédias stockés sur les appareils ont été divulgués. En revanche, la présence de messages privés, d'historiques de mots de passe et de liens entre profils dans la base de données du forum constitue un avertissement sérieux en matière de sécurité. L'utilisation de mots de passe uniques et de l'authentification à deux facteurs, l'évaluation des informations sensibles contenues dans les messages privés et la fermeture des anciens comptes de forum réduisent les risques de prise de contrôle de comptes, de rapprochement de profils et d'atteinte à la vie privée pouvant découler de la fuite de Boxee.