Exposition présumée de données chez ChessHere.com

À première vue, les plateformes d’échecs peuvent sembler être des sites de divertissement à faible risque. Pourtant, l’association d’un nom d’utilisateur et d’un mot de passe en clair présente un risque sérieux pour la sécurité des comptes, quelle que soit la vocation de la plateforme. Si vous avez utilisé le même mot de passe pour votre messagerie, vos jeux, vos réseaux sociaux ou vos comptes d’achat en ligne, des attaquants peuvent aussi le tester sur d’autres systèmes. Les conséquences de l’incident ChessHere.com ne se limitent donc pas à la sécurité des comptes d’échecs.

Les catégories de données vérifiables pour cette fiche sont les noms d’utilisateur et les mots de passe. L’affirmation selon laquelle les mots de passe sont en clair est particulièrement importante. Un mot de passe en clair peut être utilisé directement par un attaquant, sans avoir à casser un hachage, à mener une attaque par dictionnaire ou à effectuer une analyse technique. Le nom d’utilisateur, quant à lui, peut être rapproché des identités utilisées par la même personne sur différentes plateformes.

L’adresse e-mail n’a pas été ajoutée aux catégories de données vérifiées pour cette fiche. Cette limitation est délibérée : seuls les champs mentionnés de façon récurrente et solidement étayés ont été retenus, afin de ne pas vous donner une vision erronée des données concernées. Si vous avez utilisé sur d’autres forums de jeux, réseaux sociaux ou communautés d’échecs le même nom d’utilisateur que sur ChessHere.com, il peut être plus facile d’établir un lien entre vos comptes.

Dans les systèmes modernes, les mots de passe doivent être stockés sous forme de valeurs de hachage irréversibles. Lorsque des algorithmes de hachage robustes et des valeurs de sel uniques sont utilisés, un attaquant met du temps à retrouver le mot de passe réel, même si la base de données a fuité. Le stockage en clair supprime entièrement cette protection. Toute personne qui voit les données peut lire le mot de passe, le copier et le tester sur d’autres services.

C’est pourquoi le niveau de gravité Élevé a été retenu pour la fiche ChessHere.com. Même si le nombre de catégories de données touchées semble faible, la forme sous laquelle le mot de passe est conservé augmente le risque. En particulier, certains utilisateurs peuvent avoir réutilisé le même nom d’utilisateur et le même mot de passe pendant des années sur d’anciens sites de jeux, forums et plateformes communautaires. Une fuite datant de 2017 peut ainsi rester exploitable pour des attaques encore aujourd’hui.

Avant l’ajout de cette fiche, une recherche de doublons a été effectuée parmi les fiches existantes à partir de ChessHere, de chesshere.com et de variantes de noms associées. Aucune fiche de fuite portant le même nom de domaine ou le même titre n’ayant déjà été ajoutée, cette fiche a été considérée comme unique. L’incident a été jugé suffisamment étayé pour figurer dans le catalogue, car les sources ouvertes mentionnent le même nom de domaine, décembre 2017, environ un demi-million d’enregistrements, ainsi que les noms d’utilisateur et les mots de passe en clair comme catégories de données.

Toutefois, aucune déclaration officielle complète de l’exploitant de la plateforme confirmant l’ensemble des détails n’a été identifiée. Le statut de vérification est donc resté limité. Ce choix vise à vous présenter fidèlement le degré de certitude. La fiche a été complétée par des catégories de données vérifiées et des informations concordantes provenant de sources ouvertes. En revanche, les informations non vérifiées concernant les adresses e-mail, les paiements, les messages ou les profils n’ont pas été incluses dans la description.

Si vous avez également utilisé ailleurs le mot de passe de votre compte ChessHere.com, commencez par changer le mot de passe de ces autres comptes. Votre compte de messagerie est la priorité absolue : s’il est compromis, un attaquant peut utiliser les procédures de réinitialisation des mots de passe de vos autres comptes. Vérifiez ensuite vos services de jeux, réseaux sociaux, forums, sites d’achat en ligne et comptes de paiement.

L’exposition du nom d’utilisateur, associée à celle du mot de passe, crée un risque supplémentaire. Un attaquant peut rechercher ce même nom d’utilisateur sur différentes plateformes, trouver d’autres comptes utilisés par sa cible et tester le même mot de passe ou des variantes proches. Ce risque de rapprochement est particulièrement important, car il est courant de conserver le même nom d’utilisateur dans les communautés d’échecs, de jeux et de forums.

• Changez également le mot de passe utilisé sur votre compte ChessHere.com sur tous les autres services.
• Évitez aussi les variantes construites sur le même modèle de mot de passe.
• Activez la vérification en deux étapes sur votre compte de messagerie.
• Utilisez un gestionnaire de mots de passe pour générer un mot de passe unique pour chaque service.
• Passez en revue les anciens comptes de forums et de jeux créés avec le même nom d’utilisateur.
• Vérifiez les sessions actives et les applications connectées.
• Surveillez attentivement les alertes de connexion suspecte pendant quelque temps.

Dans les communautés de jeux et de loisirs, les utilisateurs conservent souvent le même pseudonyme pendant des années. Ce pseudonyme peut être associé à des réseaux sociaux, des forums, des plateformes de streaming, des clients de jeux ou à la partie initiale d’adresses e-mail. Lorsqu’un nom d’utilisateur et un mot de passe apparaissent ensemble dans un jeu de données issu d’une fuite, un attaquant tente d’accéder non seulement à la plateforme concernée, mais aussi à d’autres éléments du réseau d’identités numériques de l’utilisateur.

Il ne faut donc pas sous-estimer les données relatives aux noms d’utilisateur. Même en l’absence d’adresse e-mail, un attaquant peut retrouver des correspondances à partir du nom d’utilisateur dans les moteurs de recherche, les forums, les profils de jeux et les réseaux sociaux. Si le même mot de passe est utilisé ailleurs, le nom d’utilisateur devient directement un identifiant à tester. Pensez également à évaluer la sécurité des mots de passe des comptes créés avec vos anciens pseudonymes.

La fiche consacrée à ChessHere.com montre que les plateformes communautaires de petite ou moyenne taille doivent appliquer les mêmes normes que les grandes plateformes en matière de sécurité des mots de passe. Les mots de passe ne doivent jamais être stockés en clair. Des algorithmes robustes de hachage des mots de passe, des valeurs de sel uniques, une gestion sécurisée des sessions, la protection du panneau d’administration et des mises à jour de sécurité régulières sont des exigences fondamentales.

Les anciens composants logiciels, les extensions de forums, les panneaux d’administration et les fichiers de sauvegarde sont des points de risque fréquents sur les plateformes communautaires. Les sauvegardes de bases de données ne doivent pas être conservées dans le répertoire racine du site web. Les comptes administrateurs doivent utiliser l’authentification multifacteur, les procédures de réinitialisation des mots de passe doivent être journalisées et les exportations massives suspectes doivent être surveillées. En cas de suspicion de fuite, la réinitialisation des mots de passe des utilisateurs doit être imposée.

Une fuite datant de décembre 2017 peut sembler ancienne aujourd’hui. Pourtant, les habitudes liées aux mots de passe et aux noms d’utilisateur perdurent. Beaucoup de personnes créent un nouveau mot de passe en ajoutant un chiffre, un point d’exclamation ou une année à leur ancien mot de passe. Les attaquants testent ces modèles à l’aide d’outils automatisés. Un ancien mot de passe en clair peut donc encore servir à attaquer des comptes actuels.

De plus, d’anciens jeux de données peuvent être combinés avec de nouveaux. Une autre fuite peut contenir une adresse e-mail associée au même nom d’utilisateur, tandis qu’un numéro de téléphone apparaît ailleurs et qu’un lien vers un profil figure sur une autre plateforme. En réunissant ces éléments, l’attaquant peut dresser un profil plus complet de sa cible. Prenez en compte l’ensemble de vos traces numériques, et pas seulement chaque fuite prise isolément.

La fiche de fuite de données ChessHere.com concerne un incident signalé comme étant associé à la plateforme d’échecs en ligne et touchant environ 526 686 enregistrements d’utilisateurs. Les principales catégories de données signalées comme exposées sont les noms d’utilisateur et les mots de passe en clair. Cette association augmente le risque d’accès non autorisé à d’autres comptes pour les personnes qui réutilisent leurs mots de passe. Les adresses e-mail et les données de paiement n’ont pas été ajoutées aux catégories de données, car elles n’ont pas été vérifiées dans le cadre de cette fiche.

La fiche n’a pas été marquée comme vérifiée, car aucune confirmation officielle de première main n’existe. Elle a néanmoins été ajoutée pour alerter les utilisateurs, puisque le nom de domaine, la date, le nombre d’enregistrements et les catégories de données concordent avec les registres accessibles au public. Si vous utilisez ChessHere.com, changez vos anciens mots de passe sur tous les services, passez en revue les comptes liés à votre nom d’utilisateur et activez l’authentification à deux facteurs partout où cela est possible.

La première étape consiste à vous rappeler le mot de passe utilisé sur ChessHere.com et à dresser la liste de tous les comptes utilisant le même mot de passe ou un mot de passe similaire. La deuxième consiste à vérifier les paramètres de sécurité de votre compte de messagerie. La troisième est de passer à un gestionnaire de mots de passe et de générer un mot de passe unique pour chaque compte. La quatrième est de vous déconnecter de vos anciens comptes de forums et de jeux.

Fermez dès maintenant les comptes que vous n’utilisez plus ou remplacez leur mot de passe par un mot de passe unique généré aléatoirement. D’anciens comptes oubliés peuvent devenir un point faible exploitable par un attaquant. En particulier, si vous avez utilisé la même combinaison de nom d’utilisateur et de mot de passe, même des comptes abandonnés peuvent servir de voie d’accès à d’autres comptes. Les anciennes plateformes de loisirs doivent donc, elles aussi, faire partie de votre inventaire de sécurité.

Les mots de passe utilisés sur des plateformes de loisirs comme ChessHere.com sont souvent associés à des comptes que vous considérez comme peu risqués. Le problème est que ce même mot de passe est aussi testé sur des services plus critiques. Les attaquants n’examinent pas isolément les anciens enregistrements de sites d’échecs, de jeux et de forums : ils les combinent avec des adresses e-mail actuelles, des noms d’utilisateur de réseaux sociaux et d’autres jeux de données. Même si vous n’utilisez plus votre ancien compte, vérifiez donc sur quels autres services vous réutilisez son mot de passe.

Le nom d’utilisateur est également un indice important dans cette chaîne. Des profils de diffusion en direct, de jeux, de forums ou de réseaux sociaux peuvent avoir été créés avec le même pseudonyme. Les informations publiques de ces profils permettent à l’attaquant de préparer des messages plus convaincants. En plus de changer votre mot de passe, vous pouvez renforcer votre protection en réduisant les informations de profil superflues sur les anciens comptes créés avec le même nom d’utilisateur et en fermant les comptes inutilisés.

Pour cette fiche, certains utilisateurs peuvent penser que le risque est faible parce que la présence d’adresses e-mail n’a pas été vérifiée. Pourtant, lorsqu’un nom d’utilisateur et un mot de passe en clair sont réunis, ils peuvent fournir à un attaquant suffisamment d’éléments pour tenter un accès. En particulier, si le nom d’utilisateur correspond à la première partie de l’adresse e-mail ou s’il est utilisé de la même manière sur d’autres plateformes, retrouver l’adresse e-mail peut être facile. L’évaluation du risque doit donc tenir compte non seulement du nombre de catégories de données, mais aussi du fait que le mot de passe est en clair et que le nom d’utilisateur peut être réutilisé.