Brazzers Fuite de données

Les types de données compromis sont les adresses e-mail, les noms d’utilisateur et les mots de passe. La présence de mots de passe en clair permet à un attaquant d’essayer les mêmes identifiants sur d’autres services sans avoir à casser les mots de passe au préalable. Si le même mot de passe est réutilisé pour la messagerie, les réseaux sociaux, le cloud, des services financiers ou professionnels, ou d’autres services pour adultes, le risque ne se limite pas au compte Brazzers. L’association d’une adresse e-mail et d’un nom d’utilisateur augmente également le risque de relier une personne à ses autres profils.

Compte tenu du contexte du service, cet incident a des conséquences très importantes pour la vie privée. Le fait qu’une adresse e-mail ou un nom d’utilisateur apparaisse comme lié à des services de contenus pour adultes peut servir de prétexte à des commentaires sur des aspects sensibles de la vie de la personne, à des tentatives ciblées d’humiliation ou à de faux messages de menace. Une correspondance positive ne prouve pas de manière définitive l’ensemble des comportements de la personne ni que la personne soit encore membre actif du service; des comptes anciens, partagés ou liés à un forum peuvent également être concernés. Néanmoins, la présence de mots de passe en clair, associée au contexte sensible du service, exige de prendre des mesures sérieuses.

La date à retenir pour l’incident est le 1er avril 2013, et celle de son ajout à la liste est le 5 septembre 2016. Le périmètre de la recherche de comptes couvre 790 724 adresses e-mail uniques. Même si certains rapports mentionnent un nombre total de lignes plus élevé ou des comptes comptabilisés plusieurs fois, le nombre d’adresses e-mail uniques affiché sur l’écran de recherche destiné aux utilisateurs doit servir de référence. L’incident doit être compris comme une fuite de données de comptes provenant d’un forum, qui touche aussi des utilisateurs associés au service principal Brazzers; cette distinction précise les champs de données que l’utilisateur doit considérer comme exposés.

Les catégories de données vérifiées sont les adresses e-mail, les noms d’utilisateur et les mots de passe. Les numéros de téléphone, les adresses postales, les cartes de paiement, les comptes bancaires, les pièces d’identité officielles, les dates de naissance, les adresses IP, les messages privés ou l’historique de navigation ne doivent pas être ajoutés à cette fiche en tant que champs vérifiés. Le champ du mot de passe ne doit pas être présenté comme une valeur de hachage; le risque lié aux mots de passe en clair doit être explicitement indiqué. Le maintien de cette fiche dans la catégorie sensible constitue une protection de base qui empêche d’autres personnes de découvrir facilement si une adresse e-mail donnée figure dans ce jeu de données.

Le risque le plus élevé concerne les personnes qui réutilisent sur d’autres comptes le mot de passe de leur compte Brazzers ou d’un compte de forum associé. Si le compte de messagerie est protégé par le même mot de passe, l’attaquant peut d’abord tenter d’accéder à la boîte de réception; s’il y parvient, il peut également accéder à d’autres comptes au moyen des messages de réinitialisation de mot de passe. Les personnes qui utilisent le même nom d’utilisateur sur différentes plateformes peuvent aussi être identifiées plus facilement et recevoir des messages ciblés.

En raison du contexte des services pour adultes, les utilisateurs sont exposés, au-delà de la prise de contrôle des comptes, à des risques de pression sociale, de chantage, d’offres de suppression de fausses données, de fausses notifications d’assistance et de recherches ciblées visant à découvrir leur identité. Pour les personnes qui utilisent une adresse e-mail professionnelle, les enjeux liés à la réputation et au milieu professionnel peuvent être plus sensibles. Même lorsqu’il s’agit d’un ancien compte, le risque peut persister, car les adresses e-mail et les mots de passe sont réutilisés sur de longues périodes. Une correspondance positive ne doit donc pas être considérée comme la simple trace d’une ancienne inscription.

Les utilisateurs pour lesquels une correspondance positive est trouvée doivent d’abord s’assurer qu’aucun ancien mot de passe utilisé pour ce service n’est encore valide sur un autre compte. Si le même mot de passe, ou un mot de passe similaire, a été utilisé pour la messagerie, les réseaux sociaux, des services financiers, cloud, professionnels ou autres, ils doivent immédiatement le remplacer par des mots de passe longs et uniques. Une authentification multifacteur doit être activée pour les comptes de messagerie, les réseaux sociaux et les comptes critiques. Les sessions actives, les adresses de récupération et les messages inattendus de réinitialisation de mot de passe doivent être vérifiés.

Il convient de se méfier des messages de menace utilisant le nom Brazzers, l’ancien nom d’utilisateur ou l’adresse e-mail. Ne répondez pas aux messages qui invoquent une fausse suppression de compte ou de données, menacent d’informer votre famille ou demandent un paiement. Ne cliquez pas sur les liens, n’ouvrez pas les pièces jointes et n’envoyez pas d’argent. En cas de tentative de chantage ou de harcèlement, conservez les messages, signalez-les à la plateforme concernée et envisagez de consulter les autorités locales.

À long terme, la protection la plus importante consiste à utiliser un mot de passe différent pour chaque service et à les conserver dans un gestionnaire de mots de passe fiable. Pour les services dont le contexte est sensible, il est préférable d’utiliser une adresse e-mail distincte ou une solution de masquage plutôt que l’adresse principale. La réutilisation du même nom d’utilisateur sur plusieurs plateformes augmente le risque de rapprochement entre les profils; il est donc préférable de choisir des identifiants différents pour les services sensibles. Les notifications d’activité des comptes et l’authentification multifacteur doivent rester activées en permanence.

Pour les fournisseurs de services, cet incident met en évidence les besoins liés aux systèmes de comptes partagés, aux extensions de forums, aux anciennes pratiques de stockage des mots de passe et à la minimisation des données dans les services sensibles. Le stockage des mots de passe en clair n’est pas un choix de sécurité acceptable. Les données des utilisateurs de services sensibles doivent être réduites au minimum, les liens entre les comptes du forum et ceux du service principal doivent être surveillés avec soin, et les rapports d’incident doivent clairement préciser quel système est concerné et quels champs de données sont touchés.

Si le résultat de la vérification est positif, cela signifie que l’adresse e-mail saisie figure dans le jeu de données associé à Brazzers. L’évaluation des risques doit prendre en compte l’adresse e-mail, le nom d’utilisateur et le mot de passe en clair. Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données précis; cela ne prouve pas que la personne n’a jamais été concernée par une autre fuite de données touchant un service pour adultes, un forum, des mots de passe ou un réseau social. Compte tenu du contexte sensible du service, le résultat doit être interprété non seulement sous l’angle de la sécurité technique, mais aussi sous celui de la vie privée.

La démarche appropriée pour l’utilisateur consiste à abandonner définitivement l’ancien mot de passe, à remplacer tous les mots de passe réutilisés, à sécuriser le compte de messagerie, à activer l’authentification multifacteur, à examiner les profils publics portant le même nom d’utilisateur et à ne pas répondre aux messages d’extorsion. En raison des mots de passe en clair et du lien avec un service sensible, la fuite de données de Brazzers peut avoir des effets durables; la sécurité des comptes et les mesures de protection de la vie privée doivent donc être abordées ensemble.