Fuite de données chez Coinmama

Les catégories de données vérifiées sont les adresses e-mail, les noms d’utilisateur et les mots de passe. Le champ du mot de passe ne doit pas être considéré comme contenant des mots de passe en clair, mais comme des données de mot de passe stockées sous forme de hachages MD5 WordPress. Les hachages fondés sur MD5 sont considérés comme peu robustes au regard des exigences actuelles de protection des mots de passe; les attaquants peuvent retrouver les mots de passe courts, prévisibles ou réutilisés à partir de ces hachages. Si la même adresse e-mail et le même mot de passe sont restés valides sur une plateforme d’échange de cryptomonnaies, un portefeuille, une boîte de messagerie, un compte bancaire, un service de paiement ou un compte de réseau social, une ancienne fuite pourrait menacer votre sécurité financière actuelle.

Le nom d’utilisateur et l’adresse e-mail fournissent suffisamment de contexte pour élaborer de faux messages d’investissement, de vérification de compte, de récupération de portefeuille ou d’assistance destinés aux utilisateurs de cryptomonnaies. Un compte Coinmama pouvant être associé à des dépôts d’argent ou à des achats de cryptomonnaies, les attaquants peuvent supposer que leur cible possède des actifs numériques. Les numéros de téléphone, les adresses postales, les données de carte de paiement, les pièces d’identité officielles, les adresses de portefeuille, les historiques de transactions et les soldes ne font pas partie des catégories de données vérifiées pour Coinmama. L’évaluation des risques doit se limiter aux champs dont la présence est avérée.

Pour l’incident Coinmama, le périmètre indiqué par LeakData doit rester fixé à 478 824 comptes associés à des adresses e-mail uniques. La date de l’incident doit être enregistrée comme étant le 3 août 2017, et celle de son ajout à la liste des incidents vérifiés comme étant le 30 août 2019. Bien que les annonces de février 2019 aient fait état d’environ 450 000 adresses e-mail et entrées de mots de passe hachés, le nombre confirmé de comptes du périmètre principal reste de 478 824. Cet écart peut s’expliquer par les doublons, le processus de vérification et le décompte des comptes associés à des adresses e-mail uniques; la valeur présentée aux utilisateurs doit correspondre au périmètre des comptes uniques.

Le périmètre se limite aux données des comptes Coinmama. La présence d’autres marques dans une vague plus large de ventes de données ne justifie pas l’ajout, dans cette fiche, de catégories de données provenant d’autres plateformes. Les informations de carte de paiement, de compte bancaire, de pièce d’identité, d’adresse, de téléphone, de clé privée de portefeuille de cryptomonnaies, de liste de transactions ou de solde ne doivent pas figurer parmi les champs dont la présence est avérée pour cet incident. Cette limite évite une panique inutile liée au contexte des cryptomonnaies et oriente les utilisateurs vers les risques réels, comme la réutilisation des mots de passe, la prise de contrôle de comptes et l’hameçonnage ciblé.

Le risque est le plus élevé pour les utilisateurs qui réutilisent le mot de passe de leur compte Coinmama sur d’autres comptes. Les personnes utilisant des comptes de cryptomonnaies conservent généralement la même identité pour leur compte de messagerie, leur compte sur une plateforme d’échange, leur application de portefeuille, leur moyen de paiement et leur compte de réseau social. L’association d’une adresse e-mail et d’un nom d’utilisateur permet aux attaquants de constituer une liste de comptes. Si le mot de passe peut être retrouvé à partir de son hachage, il peut être testé sur différents services, et l’ensemble de l’écosystème d’actifs numériques de l’utilisateur peut être ciblé.

Les investisseurs en cryptomonnaies, les personnes qui n’utilisent plus leurs anciens comptes et les utilisateurs qui ouvrent des comptes sur plusieurs plateformes d’échange avec la même adresse e-mail doivent être particulièrement vigilants. Dans cette situation, même si la présence de la clé privée du portefeuille ou des informations de solde n’est pas vérifiée, les attaquants peuvent identifier la personne comme utilisatrice de cryptomonnaies. De faux messages d’assistance, de vérification urgente de compte, d’alerte de retrait, de notification fiscale ou de récupération de portefeuille peuvent alors paraître plus convaincants. Un résultat positif nécessite toujours des mesures de sécurité, même si l’ancien compte a été fermé.

Si votre adresse e-mail figure dans la base de données Coinmama, assurez-vous d’abord que l’ancien mot de passe de votre compte Coinmama n’est plus valide sur aucun autre compte. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, pour des comptes de messagerie, de plateforme d’échange de cryptomonnaies, de portefeuille, de paiement, de banque, de réseau social ou professionnels, définissez un mot de passe distinct, long et difficile à deviner pour chaque compte. L’utilisation d’un gestionnaire de mots de passe réduit le risque de réutilisation. Conserver la structure de l’ancien mot de passe en n’y apportant que de légères modifications ne doit pas être considéré comme sûr.

Activez l’authentification à deux facteurs sur votre compte de messagerie et sur tous les comptes liés aux cryptomonnaies. Lorsque cela est possible, privilégiez l’authentification par application ou une clé de sécurité matérielle. Si vous recevez des notifications de retrait inattendues, des demandes de récupération de portefeuille, des offres d’investissement, des messages de vérification de compte ou des appels d’assistance, vérifiez-les via l’application ou le site officiel sans cliquer sur les liens reçus. Si vous repérez une session suspecte, fermez les sessions, vérifiez les adresses e-mail de récupération et remplacez entièrement les mots de passe réutilisés.

La fuite Coinmama montre que les informations d’identité utilisées sur les comptes de cryptomonnaies peuvent encore présenter un risque élevé des années plus tard. Évitez de réutiliser vos mots de passe entre vos comptes de cryptomonnaies, de messagerie, de banque, de paiement et de réseaux sociaux. Examinez régulièrement vos anciens comptes sur les plateformes d’échange et fermez ceux que vous n’utilisez plus, ou sécurisez-les séparément avec des mots de passe uniques et une authentification multifacteur robuste. Comme les adresses e-mail et les noms d’utilisateur restent inchangés pendant de longues périodes, les données d’anciennes fuites peuvent être réutilisées dans de nouvelles tentatives d’hameçonnage.

Pour les fournisseurs de services, la principale leçon consiste à protéger les hachages de mots de passe avec des méthodes de stockage modernes et coûteuses en ressources, à informer les utilisateurs sans délai et à indiquer clairement quels champs de données ne sont pas touchés. Dans le contexte des cryptomonnaies, les données de paiement, d’identité et de portefeuille sont très sensibles; les champs non vérifiés ne doivent donc pas être inclus dans le périmètre de l’incident. La communication de Coinmama sur les risques doit rester centrée sur la sécurité des comptes en lien avec les adresses e-mail, les noms d’utilisateur et les hachages de mots de passe MD5 WordPress.

La vérification d’une adresse e-mail dans le cadre de la fuite Coinmama indique si l’adresse saisie figure dans ce jeu de données vérifié. Si le résultat est positif, l’adresse e-mail, le nom d’utilisateur et le hachage du mot de passe doivent être considérés comme exposés à un risque. Si le résultat est négatif, cela indique seulement qu’aucune correspondance n’a été trouvée dans ce jeu de données précis; cela ne prouve pas que la personne n’est pas concernée par d’autres plateformes de cryptomonnaies ou d’autres fuites de données. L’exactitude des dates est importante pour ne pas confondre la date de l’incident avec celle de son ajout à la liste des incidents vérifiés.

La bonne démarche consiste à abandonner définitivement l’ancien mot de passe, à remplacer tous les mots de passe réutilisés, à sécuriser le compte de messagerie avec une authentification multifacteur robuste et à se méfier des faux messages d’assistance ou d’investissement liés aux cryptomonnaies. Vérifiez également les comptes de plateforme d’échange, de portefeuille, de paiement et de réseau social ouverts avec la même adresse e-mail et le même nom d’utilisateur. Ces mesures réduisent le risque qu’une fuite de données de 2017 débouche aujourd’hui sur la prise de contrôle d’un compte financier ou sur un hameçonnage ciblé.