Cannabis.com Fuite de données

Les catégories de données dont la présence a été vérifiée comprennent les dates de naissance, les adresses e-mail, les informations de localisation géographique, les anciens mots de passe, les identifiants de messagerie instantanée, les adresses IP, les mots de passe, les messages privés, les noms d'utilisateur et l'activité sur le site. Chacun de ces éléments peut présenter un risque à lui seul. Lorsqu'ils sont réunis dans un même ensemble de comptes, ils augmentent la probabilité que des attaquants identifient des personnes, établissent leur profil et élaborent des scénarios d'hameçonnage ciblés.

Les adresses e-mail et les noms d'utilisateur peuvent servir à rapprocher les comptes d'une même personne sur différents sites. Les mots de passe et les anciens mots de passe peuvent être testés sur d'autres services, en supposant que l'utilisateur y a choisi des mots de passe identiques ou similaires. Les adresses IP et les informations de localisation géographique peuvent révéler la région approximative du titulaire du compte ou ses habitudes de connexion passées. Les informations du profil, comme la date de naissance, peuvent faciliter la recherche des réponses aux questions d'authentification.

Les messages privés constituent l'un des aspects les plus sensibles de cet incident. Les échanges sur le forum peuvent contenir des préférences personnelles, des relations sociales, des contacts professionnels, des éléments laissant déduire des informations sur la santé ou des réflexions que l'utilisateur n'a pas partagées publiquement. Les attaquants peuvent exploiter ces textes à des fins de chantage, d'atteinte à la réputation, de fraude ciblée ou d'ingénierie sociale. Les données d'activité sur le site apportent également du contexte sur les sujets consultés, les rubriques du forum dans lesquelles l'utilisateur participe ou son niveau d'activité.

La date confirmée à retenir pour l'incident de Cannabis.com est le 5 février 2014, et son ajout à la base de données date du 1er juin 2014. Le nombre de comptes uniques touchés est de 227 746. Les données proviennent du forum vBulletin de Cannabis.com consacré à la marijuana et ont circulé publiquement après la fuite. Aucun groupe d'attaquants n'ayant été identifié par une attribution explicite et vérifiée, l'identité des responsables de l'incident n'est pas considérée comme établie.

Les limites du périmètre sont également importantes. Cet incident concerne les comptes du forum Cannabis.com et les données des utilisateurs liées à ce forum. La présence de données relatives aux cartes de paiement, aux comptes bancaires, aux passeports, aux numéros de pièces d'identité officielles ou à un historique direct de transactions financières n'a pas été vérifiée. La présence de messages privés et de données d'activité sur le site rend cet incident grave pour la vie privée, mais inclure des catégories non vérifiées induirait les utilisateurs en erreur. L'évaluation des risques doit donc reposer uniquement sur les catégories vérifiées.

La présence d'environ dix mille messages privés dans le jeu de données a des conséquences qui ne peuvent pas être mesurées par le seul nombre de comptes. Pour les personnes qui se sont inscrites sur d'autres forums ou ont créé des comptes sur les réseaux sociaux avec la même adresse e-mail, il existe un risque en cascade. Cela ne signifie toutefois pas que tous les visiteurs de Cannabis.com sont concernés : le risque se limite aux utilisateurs qui possèdent un compte sur le forum et dont les données ont été divulguées.

Les personnes les plus exposées sont celles qui étaient membres du forum Cannabis.com avant 2014 ou aux alentours de cette période, qui utilisaient la même adresse e-mail pour d'autres services et qui réutilisaient le mot de passe du forum sur d'autres comptes. Le fait de tester d'anciens mots de passe sur d'autres comptes peut notamment ouvrir la voie à des tentatives de prise de contrôle, même des années plus tard. Les personnes qui réutilisent leurs mots de passe en les modifiant légèrement s'exposent à un risque similaire.

Les utilisateurs qui communiquent leur vrai nom, leur localisation, leur date de naissance ou leur compte de messagerie instantanée sur le forum risquent davantage de voir leur identité reliée à leur compte. Ceux qui ne souhaitent pas que leur appartenance au forum soit connue, pour des raisons professionnelles, familiales, de santé, de situation juridique ou de préférences personnelles, peuvent être exposés à des risques pour leur réputation et leur vie privée. Si les messages privés contiennent des numéros de téléphone, des adresses, des relations professionnelles, des intentions d'achat ou d'autres détails personnels, les risques dépassent le cadre du compte du forum.

Les utilisateurs inscrits avec une adresse e-mail professionnelle courent un risque supplémentaire : leur activité sur le forum peut être reliée à leur identité professionnelle. Cette situation peut permettre aux attaquants de préparer des messages d'hameçonnage plus convaincants. Si le même nom d'utilisateur est employé sur différentes plateformes, les données du forum peuvent être rapprochées de profils sur les réseaux sociaux, de comptes de messagerie ou de profils sur d'autres sites communautaires.

Si vous utilisez toujours l'adresse e-mail liée à votre compte Cannabis.com, la priorité est de changer le mot de passe de tous les comptes sur lesquels vous employez un mot de passe identique ou similaire. Choisissez un mot de passe unique, long et aléatoire pour chaque service et activez l'authentification à deux facteurs sur les comptes qui le permettent. Même si l'ancien mot de passe du forum ne semble plus être utilisé aujourd'hui, le risque persiste s'il a servi sur d'autres comptes par le passé.

Protégez également votre compte de messagerie, car les informations divulguées lors de fuites sur des forums sont souvent exploitées dans des tentatives d'hameçonnage visant ce compte. Méfiez-vous des messages faisant référence à Cannabis.com ou à votre historique sur le forum, ne cliquez pas directement sur les liens et examinez attentivement les notifications de réinitialisation de mot de passe. Vérifiez les alertes de connexion inattendues, les notifications signalant de nouveaux appareils et les sessions suspectes dans les paramètres de sécurité.

Si vous avez partagé des informations personnelles dans des messages privés, changer votre mot de passe ne suffit pas à éliminer le risque. Passez en revue les autres personnes, comptes ou canaux de communication mentionnés dans ces messages. Renforcez les paramètres de confidentialité des numéros de téléphone, adresses, noms d'utilisateur ou informations de réseaux sociaux qui ont pu être exposés. Si vous utilisez le même nom d'utilisateur sur d'autres plateformes, il est utile de limiter la possibilité de vous trouver par une recherche ainsi que la visibilité de vos profils.

Les données issues de ce type d'anciennes fuites de forums peuvent servir à des tentatives d'hameçonnage et de prise de contrôle de comptes, même des années après leur diffusion en ligne. Il faut donc évaluer non seulement les comptes que vous possédiez au moment de l'incident, mais aussi tous les comptes importants que vous avez ouverts au fil des années avec la même adresse e-mail. Utiliser un gestionnaire de mots de passe, créer un mot de passe unique pour chaque compte et supprimer complètement les anciens mots de passe de vos archives sont des mesures essentielles pour vous protéger à long terme.

Pour les informations personnelles, la stratégie la plus adaptée consiste à partager le moins de données possible sur les forums et les sites communautaires. Les champs tels que la date de naissance, la localisation, l'identifiant de messagerie instantanée et le vrai nom doivent rester vides ou avoir une visibilité restreinte lorsqu'ils ne sont pas obligatoires. Le choix du nom d'utilisateur compte également : employer le même sur de nombreux sites facilite le rapprochement de différents jeux de données.

En entreprise, il ne faut pas oublier que les salariés peuvent être ciblés en raison d'anciennes fuites de forums. Les équipes de sécurité doivent réduire la réutilisation d'anciens mots de passe associés aux adresses e-mail des salariés, promouvoir l'authentification multifacteur et proposer des formations de sensibilisation aux scénarios d'hameçonnage qui exploitent des informations sensibles sur l'appartenance à une communauté. Puisque les données d'anciennes fuites peuvent servir à de nouvelles attaques, la surveillance et les bonnes pratiques en matière de mots de passe doivent être maintenues dans la durée.

Pour savoir si vous avez été touché par la fuite de données de Cannabis.com, vérifiez votre adresse e-mail sur une interface de vérification fiable. Un résultat positif ne signifie pas nécessairement que vous possédez actuellement un compte Cannabis.com actif : il indique que votre adresse e-mail figurait dans les données du forum de 2014. Néanmoins, si vous avez utilisé l'ancien mot de passe et le nom d'utilisateur sur d'autres services, des mesures de sécurité urgentes s'imposent.

Si le résultat est négatif, n'oubliez pas que vous avez pu vous inscrire avec différentes adresses e-mail. Vérifiez séparément vos anciennes adresses personnelles, vos adresses professionnelles et les comptes ouverts sous pseudonyme. Si le résultat est positif, examinez également les adresses e-mail de récupération de vos comptes, les questions de sécurité et les appareils connectés après avoir changé vos mots de passe.

La fuite de Cannabis.com montre que les comptes utilisés dans des communautés aux thématiques sensibles ne doivent pas être considérés comme de simples comptes de forum. L'association de l'adresse e-mail, du mot de passe, de l'adresse IP et des messages privés crée un risque durable de rapprochement avec l'identité réelle, de pression sociale, d'hameçonnage ciblé et de prise de contrôle de comptes. L'approche la plus efficace consiste à cesser définitivement d'utiliser le mot de passe divulgué, à renforcer la sécurité des comptes essentiels associés à la même adresse e-mail et à réévaluer si les informations personnelles contenues dans les messages privés présentent encore un risque aujourd'hui.