Exposition présumée de données chez Collection #1

Les deux principaux types de données vérifiés dans Collection #1 sont les adresses e-mail et les mots de passe. L’adresse e-mail indique l’identité que l’attaquant utilisera pour lancer une tentative; le mot de passe accroît directement le risque de prise de contrôle d’un compte si le même mot de passe, ou un mot de passe similaire, a été utilisé sur d’autres services. La présence de champs relatifs aux cartes de paiement, aux pièces d’identité officielles, aux données de santé, aux messages privés ou aux adresses postales n’a pas été vérifiée dans cette collection. Il est important de préciser cette limite afin de communiquer le risque réel aux utilisateurs sans provoquer de panique inutile.

Si les mots de passe circulent en clair ou dans un format exploitable, les obstacles techniques pour l’attaquant sont moindres. Même les anciens mots de passe qui ne sont plus utilisés présentent un risque, car de nombreuses personnes continuent d’utiliser leur ancien mot de passe en y apportant de petites modifications. Les paires d’adresses e-mail et de mots de passe peuvent servir à des tentatives de connexion automatisées, à des vérifications lors de la création de comptes, à des procédures de réinitialisation de mot de passe et à des messages d’hameçonnage ciblés. Le risque est particulièrement élevé pour les utilisateurs qui emploient le même mot de passe pendant des années.

La date retenue pour l’incident est le 7 janvier 2019. La fiche a été ajoutée à des listes fiables de suivi des fuites le 16 janvier 2019, puis ses métadonnées ont été modifiées peu après, le même jour. Le nombre de comptes concernés doit rester fixé à 772 904 991 adresses e-mail uniques. Les nombres plus élevés de lignes brutes ne doivent pas être interprétés comme un nombre d’utilisateurs, en raison des combinaisons répétées, des lignes erronées et des différents formats de fichiers.

Collection #1 est classée comme non vérifiée. Cette classification ne signifie pas que le jeu de données ne contient aucune information réelle sur des utilisateurs; elle indique qu’un niveau de confiance limité lui est accordé, car il n’est pas possible de vérifier avec certitude chacune des sources. La fiche ne doit pas être rattachée à un seul domaine ni présentée comme une intrusion actuelle dans les systèmes d’une entreprise précise. L’information essentielle à communiquer aux utilisateurs est de savoir si leur adresse e-mail figure dans une vaste collection utilisée pour le bourrage d’identifiants et contenant des combinaisons de mots de passe.

Les personnes qui utilisent la même adresse e-mail et le même mot de passe sur plusieurs services sont les plus exposées. Les mots de passe d’anciens comptes de jeux, de forums, de boutiques en ligne, de réseaux sociaux et de services non professionnels peuvent avoir fini par être réutilisés pour des comptes critiques. Même si un utilisateur ne se souvient plus de son ancien mot de passe, les attaquants peuvent essayer des variantes qui en reprennent le schéma.

Les utilisateurs en entreprise peuvent également être concernés. Les salariés qui s’inscrivent sur des sites personnels avec leur adresse e-mail professionnelle peuvent mettre leur compte professionnel en danger s’ils réutilisent d’anciens mots de passe dans les systèmes de leur entreprise. Les adresses des personnes travaillant dans l’administration, la finance, les ressources humaines et les équipes d’assistance sont particulièrement précieuses pour les attaquants : au-delà d’une tentative de connexion réussie, ceux-ci peuvent également lancer des tentatives d’ingénierie sociale à l’aide de fausses factures, de partages de fichiers, de prétendues alertes de sécurité et de correspondances imitant les échanges internes.

Si une correspondance est trouvée pour votre adresse, vérifiez d’abord votre compte de messagerie ainsi que tous les comptes importants pour lesquels vous pourriez avoir utilisé le même schéma de mot de passe. Ne conservez le même mot de passe, ou un mot de passe similaire, sur aucun service et attribuez à chaque compte un mot de passe unique et robuste. L’utilisation d’un gestionnaire de mots de passe rend cette démarche plus fiable. Votre compte de messagerie étant le point central de récupération de vos autres comptes, activez-y en priorité l’authentification à deux facteurs.

Examinez les anciennes sessions, les appareils que vous ne reconnaissez pas, les messages inattendus de réinitialisation de mot de passe et les alertes de sécurité. Vous ne savez pas toujours de quel service provient le mot de passe présent dans la collection; il ne suffit donc pas de le changer sur un seul site. Utilisez des mots de passe uniques et des seconds facteurs d’authentification robustes pour les comptes critiques, notamment les comptes bancaires, de messagerie, de stockage dans le cloud, de réseaux sociaux, d’achats en ligne et professionnels.

Les collections utilisées pour le bourrage d’identifiants sont reconditionnées pendant des années, remises en circulation sous différents noms et combinées à de nouvelles listes. Un changement de mot de passe ponctuel ne suffit donc pas à assurer une protection à long terme. Abandonnez complètement vos anciens schémas de mots de passe, utilisez un mot de passe différent pour chaque service et privilégiez la vérification via une application ou les clés de sécurité pour vos comptes importants.

Les organisations doivent considérer la présence de mots de passe de salariés dans des listes de fuites comme un signal de risque distinct. Les politiques empêchant la réutilisation des mots de passe, l’authentification multifacteur obligatoire, les alertes de tentatives de connexion suspectes et les contrôles des sessions provenant de zones géographiques à risque réduisent l’impact de ces collections. Il convient d’informer les salariés de la façon dont les paires d’adresses e-mail et de mots de passe sont utilisées à mauvais escient et de veiller à ce que les anciennes habitudes liées aux comptes personnels ne soient pas transposées aux comptes professionnels.

Un résultat de recherche positif signifie que votre adresse e-mail figure dans la base de données Collection #1. Cela ne signifie pas que tous les mots de passe sont encore utilisés ni qu’un compte auprès d’une entreprise précise a été compromis à cet instant; ce résultat impose toutefois une vérification approfondie des risques liés à la réutilisation des mots de passe. Pour tous les comptes importants associés à la même adresse e-mail, vérifiez si le mot de passe est unique et si la vérification en deux étapes est activée.

Un résultat négatif signifie qu’aucune correspondance n’a été trouvée dans cette collection; la même adresse peut toutefois figurer dans d’autres fuites ou dans des listes ultérieures de bourrage d’identifiants. Continuez à effectuer un suivi régulier, à utiliser des mots de passe uniques, à protéger solidement votre compte de messagerie et à faire preuve de prudence face aux messages suspects. Les grandes collections comme Collection #1 doivent être considérées comme une mise en garde permanente : les anciens mots de passe ne doivent jamais être réutilisés.