Exposition présumée de données chez Cit0day

Les catégories de données vérifiées sont les adresses e-mail et les mots de passe. L'adresse e-mail est le principal identifiant dont se servent les attaquants pour retrouver une personne sur différentes plateformes et relier cette même identité à d'autres comptes. Les mots de passe, quant à eux, augmentent directement le risque. Même les mots de passe stockés sous forme hachée peuvent être retrouvés au fil du temps si les algorithmes sont faibles, si le stockage se fait sans salage ou si les mots de passe choisis sont faciles à deviner. Les mots de passe en clair sont directement utilisables par les attaquants. Cit0day constitue donc une source de données particulièrement propice aux tentatives de prise de contrôle de comptes fondées sur la réutilisation des mots de passe.

Le danger de cette fuite ne se limite pas à un ancien compte sur un seul service. Si une personne a réutilisé la même combinaison d'adresse e-mail et de mot de passe sur des forums, des jeux, des sites marchands, des réseaux sociaux, une messagerie ou des comptes professionnels, le risque s'étend par réaction en chaîne. Les attaquants peuvent essayer cette même combinaison sur différents services, modifier les options de récupération après avoir réussi à se connecter ou cibler des comptes liés. L'adresse e-mail seule peut également servir à envoyer des messages d'hameçonnage. La présence de mots de passe impose de passer en revue non seulement l'ancien compte concerné, mais aussi tous les comptes liés au même historique de mots de passe.

Le périmètre vérifié correspond à 226 883 414 adresses e-mail uniques. Il a été indiqué que le jeu de données se compose de plus de 23 000 fichiers et entrées de sites : certains fichiers contiennent des adresses e-mail et des empreintes de mots de passe, d'autres des mots de passe récupérés par cassage du hachage, et d'autres encore des paires d'adresses e-mail et de mots de passe en clair. Pour cet incident, les catégories de données se limitent aux adresses e-mail et aux mots de passe. La présence de champs supplémentaires, tels que le nom complet, le numéro de téléphone, l'adresse postale, les informations de paiement, la date de naissance ou un identifiant officiel, n'a pas été vérifiée dans ce contexte. La description ne comprend donc que les champs vérifiés.

Cette fiche doit rester classée comme non vérifiée. Ce n'est pas parce que l'ensemble du jeu de données serait faux, mais parce qu'il n'existe ni source unique clairement établie, ni notification institutionnelle unique, ni vérification définitive de chaque sous-fichier. Les analyses montrent que l'archive contient de nombreux indices valables liés à des comptes réels; il ne serait toutefois pas correct d'accorder le même degré de confiance à chaque site et à chaque fichier. Cette distinction est importante pour la sécurité des utilisateurs. Si le résultat est positif, le risque doit être pris au sérieux, mais il ne faut pas affirmer avec certitude, pour chaque utilisateur, quel site précis est à l'origine de la fuite de ses données.

Les utilisateurs les plus exposés sont ceux qui réutilisent le même mot de passe sur plusieurs services. Les collections comme Cit0day permettent aux attaquants de tester en masse des paires d'adresses e-mail et de mots de passe. On retrouve souvent dans ces archives d'anciens comptes de forums, de petits sites de commerce en ligne, des communautés de joueurs, des plateformes consacrées aux loisirs et des comptes de sites web qui ne sont plus utilisés. Si une personne a utilisé un mot de passe faible sur un ancien compte, puis a choisi le même pour un service plus important, un compte apparemment secondaire peut mettre en danger des comptes essentiels.

Le deuxième groupe à risque comprend les personnes qui utilisent encore activement leur ancienne adresse e-mail ou qui ont créé de nombreux comptes avec la même adresse. Lorsqu'une adresse e-mail reste inchangée pendant des années, les données de différentes fuites peuvent être reliées à un seul profil d'utilisateur. Le risque est encore plus élevé pour les personnes qui utilisent leur adresse e-mail professionnelle sur des forums personnels ou de petits sites web : les attaquants peuvent s'appuyer sur des données personnelles pour préparer des messages ciblant le compte professionnel. Les utilisateurs qui ont oublié leurs anciens comptes ne sont pas non plus à l'abri, car l'historique des mots de passe conservé dans ces comptes peut servir à de nouvelles attaques.

La première étape consiste à examiner les mots de passe précédemment utilisés avec l'adresse e-mail signalée dans les résultats pour Cit0day. Si vous utilisez encore le même mot de passe, ou un mot de passe similaire, sur un compte actif, remplacez-le immédiatement par un mot de passe unique et robuste. Donnez la priorité aux comptes de messagerie, aux comptes financiers, aux profils sur les réseaux sociaux, au stockage dans le cloud, aux systèmes professionnels et aux comptes principaux permettant d'accéder aux liens de réinitialisation des mots de passe. Un gestionnaire de mots de passe facilite la création de mots de passe longs et uniques pour chaque service. Activez l'authentification multifacteur sur tous les comptes essentiels qui la prennent en charge.

La deuxième étape consiste à examiner les paramètres de sécurité du compte de messagerie. Vérifiez les sessions inconnues, les règles de transfert, les filtres automatiques, les adresses de récupération et les appareils connectés. Les attaquants peuvent ajouter des règles de transfert discrètes aux comptes auxquels ils ont accédé afin de conserver un accès durable. Fermez les comptes anciens et inutilisés ou, au minimum, attribuez-leur des mots de passe uniques. Comme vous ne pourrez peut-être pas savoir précisément de quel site provient la fuite, ne limitez pas votre protection à un seul compte : faites le ménage dans tous les comptes sur lesquels vous avez utilisé la même adresse e-mail et le même mot de passe par le passé.

Les collections comme Cit0day illustrent clairement les effets à long terme de la réutilisation des mots de passe. Si une personne a utilisé le même mot de passe il y a des années sur un site qu'elle jugeait peu important, cet identifiant peut ensuite être testé sur des comptes bien plus sensibles. La protection à long terme repose sur des mots de passe uniques, un gestionnaire de mots de passe et l'authentification multifacteur. Avec un mot de passe différent pour chaque service, une fuite sur un site ne se répercute pas sur les autres comptes. Le compte de messagerie doit lui aussi être protégé, car la boîte de réception sert généralement de point central pour la récupération des autres comptes.

Les utilisateurs doivent régulièrement faire l'inventaire de leurs anciens comptes. Fermez les comptes inutilisés, mettez à jour les mots de passe des comptes encore nécessaires et réduisez le risque que vos profils sur plusieurs plateformes soient rapprochés à partir d'un même nom d'utilisateur. De leur côté, les organisations peuvent mener des campagnes de sensibilisation pour limiter l'utilisation des adresses e-mail professionnelles par leurs employés lors d'inscriptions personnelles sur des sites web. La sécurité des mots de passe ne se résume pas au choix d'un mot de passe robuste : ne jamais réutiliser le même mot de passe et garder la maîtrise de ses anciens comptes est tout aussi important.

La vérification de Cit0day sur LeakData vous aide à savoir si votre adresse e-mail figure dans cette vaste collection d'identifiants de connexion. Si le résultat est positif, commencez par dresser la liste de tous les comptes importants que vous utilisez avec la même adresse e-mail. Repérez ensuite ceux qui partagent des mots de passe identiques ou similaires et attribuez un mot de passe unique à chacun. Activez l'authentification multifacteur sur votre compte de messagerie, consultez l'historique des connexions et retirez tous les appareils que vous ne reconnaissez pas. Assurez-vous que l'adresse e-mail et le numéro de téléphone de récupération des comptes essentiels vous appartiennent.

La plupart des utilisateurs ne pourront peut-être pas déterminer avec certitude le site unique à l'origine de cette fuite. La mesure la plus appropriée consiste donc à sécuriser tous les comptes concernés par votre historique de mots de passe. Utiliser un gestionnaire de mots de passe, repérer les mots de passe anciens et faibles, attribuer des mots de passe distincts aux comptes qui partagent le même et fermer les comptes inutilisés assure une protection durable. Ne considérez pas un résultat Cit0day comme un simple incident ancien : les paires d'adresses e-mail et de mots de passe peuvent servir à des tentatives automatisées de connexion aux comptes, même des années plus tard. Si vos comptes disposent de mots de passe uniques et d'une authentification multifacteur, l'impact de ces collections est considérablement réduit.