Carding Mafia (mars 2021)

Dans la fiche Carding Mafia de mars 2021, la présence d’adresses e-mail, d’adresses IP, de noms d’utilisateur et d’empreintes de mots de passe a été vérifiée. Une adresse e-mail peut servir à contacter directement l’utilisateur. Un nom d’utilisateur peut permettre de relier différents profils si le même pseudonyme est utilisé sur plusieurs forums ou plateformes de messagerie. Les adresses IP peuvent également fournir des indications techniques sur la localisation de sessions antérieures et les habitudes de connexion.

La présence de mots de passe sous forme d’empreintes MD5 avec sel ne signifie pas que les mots de passe en clair ont été directement exposés. Le risque subsiste toutefois pour les mots de passe faibles ou réutilisés. Si un utilisateur a employé le même mot de passe pour sa messagerie, d’autres forums, ses comptes de réseaux sociaux ou ses comptes professionnels, des attaquants peuvent tenter de l’utiliser sur ces comptes. Dans cet incident, le fait même d’être membre du forum doit également être considéré comme une information sensible.

Le périmètre vérifié de cette fiche comprend 297 744 comptes et quatre types de données : les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Les autres informations de profil, coordonnées, contenus ou données financières ne font pas partie des champs dont la présence a été vérifiée pour cette fiche. Celle-ci doit se limiter aux seuls champs vérifiés de l’incident de mars 2021.

Les deux incidents ne doivent pas être considérés comme des doublons, puisqu’une fiche distincte existe pour une fuite de données survenue sur le même forum en décembre 2021. Bien que les deux fiches concernent le même nom de domaine, la date, le nombre de comptes et le contexte vérifié de l’incident diffèrent. Les chiffres et les champs présentés à l’utilisateur doivent rester conformes au périmètre vérifié de cette fiche. Aucune autre fuite ne doit être supposée pour d’autres forums ou des plateformes portant un nom similaire.

Les personnes les plus exposées sont celles qui réutilisent sur d’autres comptes l’adresse e-mail, le nom d’utilisateur et le mot de passe employés sur le forum Carding Mafia. Compte tenu de la nature du forum, une adresse e-mail liée à une identité personnelle ou professionnelle peut présenter un risque accru. Les personnes qui utilisent le même nom d’utilisateur dans différentes communautés peuvent être plus facilement repérées par rapprochement de profils et recevoir davantage de messages ciblés.

Dans les fiches relatives à des forums aussi sensibles, le risque ne se limite pas à la nécessité de changer les mots de passe. L’adresse IP et le nom d’utilisateur peuvent contribuer à relier les activités en ligne d’un utilisateur à d’autres comptes. Si l’inscription a été effectuée avec une adresse e-mail professionnelle, l’incident doit également être examiné sous l’angle de la sécurité dans le cadre professionnel. Même lorsqu’une adresse e-mail personnelle a été utilisée, la divulgation de l’appartenance au forum doit être considérée comme sensible pour la réputation et la vie privée.

Les utilisateurs qui constatent une correspondance doivent d’abord identifier le mot de passe qu’ils utilisaient sur le forum Carding Mafia et déterminer si la même structure de mot de passe est utilisée sur d’autres comptes. Si ce mot de passe, ou un mot de passe similaire, est toujours valide ailleurs, il doit être changé immédiatement. Les comptes de messagerie, de forums, de réseaux sociaux, de plateformes de discussion, de développeur et les comptes professionnels doivent être traités en priorité. Chaque compte doit disposer d’un mot de passe long et unique.

Les utilisateurs doivent se méfier des menaces et des messages d’hameçonnage faisant référence à l’appartenance au forum, à la sécurité des comptes ou à la vente de données. Au lieu de se connecter à partir de liens reçus, il convient d’accéder directement aux services concernés, de ne pas ouvrir de fichiers inattendus et d’activer l’authentification à deux facteurs sur les comptes critiques. Les options de récupération des comptes doivent être mises à jour et les variantes d’anciens mots de passe ne doivent plus être utilisées.

L’incident Carding Mafia de mars 2021 montre que les informations d’identité utilisées sur des forums à caractère sensible doivent être séparées de celles utilisées ailleurs. Les utilisateurs doivent éviter d’employer leurs adresses e-mail principales, leurs adresses professionnelles et des noms d’utilisateur réutilisés sur des forums à haut risque. Chaque compte doit disposer d’un mot de passe unique et d’informations d’identité distinctes, et une authentification à deux facteurs robuste doit être privilégiée. Les comptes de forum qui ne sont plus utilisés doivent être fermés.

Pour les équipes de sécurité des entreprises, de telles fiches peuvent soulever la nécessité de vérifier avec prudence et dans le respect de la loi si les adresses e-mail de salariés apparaissent dans des communautés à haut risque. Du côté des utilisateurs, les gestionnaires de mots de passe, la vérification des mots de passe ayant fuité, l’utilisation de pseudonymes distincts et la suppression des anciens comptes réduisent les risques à long terme. Dans les incidents impliquant l’appartenance à un forum sensible, les conséquences pour la vie privée doivent être évaluées séparément des risques techniques pesant sur les comptes.

Une correspondance avec l’adresse e-mail dans cette fiche indique que l’utilisateur figure dans le jeu de données Carding Mafia de mars 2021. L’utilisateur doit d’abord déterminer quels nom d’utilisateur et mot de passe il employait, si ce nom d’utilisateur peut être relié à d’autres comptes et où le même mot de passe a pu être réutilisé. Pour éviter toute confusion avec la fiche de décembre 2021, la date de l’incident doit également être prise en compte.

La correspondance ne prouve pas que d’autres données personnelles ou financières, en dehors de ces quatre catégories, ont été exposées. Toutefois, la présence conjointe d’adresses e-mail, d’adresses IP, de noms d’utilisateur et d’empreintes de mots de passe MD5 avec sel constitue une alerte de sécurité suffisante. L’utilisation de mots de passe uniques et de l’authentification à deux facteurs, la vérification des messages reçus par un canal de confiance et la réduction du nombre de comptes associés à des contextes sensibles sont des mesures qui atténuent les risques de prise de contrôle des comptes et de rapprochement d’identités liés à cette fuite.