Listes d’identifiants publiées sur Telegram

Les Listes d’identifiants publiées sur Telegram contiennent des catégories de données vérifiées telles que des adresses e-mail, des noms d’utilisateur et des mots de passe. Lorsque ces trois champs sont réunis, le risque de prise de contrôle d’un compte devient important. L’adresse e-mail ou le nom d’utilisateur indique à l’attaquant quel identifiant utiliser pour ses tentatives; le mot de passe, s’il est utilisé sous une forme identique ou similaire sur d’autres services, constitue directement une base pour tenter de se connecter. Une correspondance doit donc être considérée non comme une simple alerte au spam, mais comme un avertissement prioritaire concernant la sécurité des mots de passe.

Les noms, numéros de téléphone, adresses postales, cartes de paiement et numéros de pièces d’identité officielles ne font pas partie des catégories de données vérifiées de ce jeu de données. Le principal risque concerne les informations d’authentification. Certaines lignes peuvent contenir des renseignements sur le site où le mot de passe a été saisi, ce qui permet aux attaquants de déterminer plus facilement quel service cibler. Toutefois, les informations affichées à l’utilisateur ne permettent pas toujours de savoir quel mot de passe correspond à quel site. Cette incertitude impose de considérer tous les mots de passe réutilisés comme présentant un risque.

Ces listes d’identifiants proviennent souvent d’anciennes fuites de données, de listes reconditionnées, de mots de passe faibles devinés ou de journaux issus de logiciels malveillants qui dérobent des informations. Une même adresse e-mail peut donc apparaître avec plusieurs mots de passe utilisés par le passé sur différents services. Même si un utilisateur emploie aujourd’hui un mot de passe robuste, le risque persiste lorsqu’un ancien mot de passe reste valide sur d’autres comptes. Pour les organisations, la présence d’adresses e-mail de salariés dans ces listes peut accroître les attaques ciblées par essais d’identifiants et le volume de messages d’hameçonnage.

Le périmètre vérifié comprend une collecte datée du 28 mai 2024, une fiche ajoutée le 3 juin 2024, une dernière mise à jour le 11 juin 2024 et 361 468 099 comptes uniques. Les catégories de données sont les adresses e-mail, les mots de passe et les noms d’utilisateur. Cet incident n’indique pas que les systèmes du service Telegram ont été compromis. Il est plus exact de le décrire comme le classement, au sein d’un jeu de données collecté et vérifié, de listes d’identifiants partagées sur des canaux Telegram malveillants.

Cette distinction est importante pour la sécurité des utilisateurs. Un résultat indiquant une correspondance ne signifie pas que le compte Telegram de l’utilisateur a été compromis. Son adresse e-mail, son nom d’utilisateur ou son mot de passe peut avoir figuré dans des listes provenant de différentes sources, ensuite diffusées sur des canaux Telegram. Les mesures à prendre doivent donc couvrir tous les comptes importants sur lesquels la même adresse e-mail et le même mot de passe ont pu être utilisés, plutôt que de se limiter à un compte précis sur une application de messagerie.

Le nombre de lignes brutes ne doit pas être confondu avec le nombre de comptes uniques. Parmi les quelque 2 milliards de lignes, une même adresse e-mail peut apparaître plusieurs fois avec des mots de passe différents ou dans des données provenant de sources différentes. Le nombre de comptes concernés affiché à l’utilisateur correspond au décompte vérifié des adresses e-mail uniques. Les champs non vérifiés ne doivent pas être ajoutés aux catégories de données, l’incident ne doit pas être présenté comme une fuite touchant une seule marque, et son périmètre doit rester limité à cette collection d’identifiants.

Les personnes qui utilisent le même mot de passe sur plusieurs services constituent le groupe le plus exposé. Si un mot de passe a été utilisé sur un ancien forum, un compte de jeu, un site marchand ou un compte d’essai, puis réutilisé pour la messagerie, les réseaux sociaux, des comptes financiers ou professionnels, ce jeu de données peut fournir aux attaquants une liste prête à l’emploi pour leurs tentatives de connexion. Même un mot de passe long présente toujours un risque s’il n’est pas unique. Un mot de passe unique doit donc être exigé pour chaque compte critique.

Le deuxième groupe à risque est celui des salariés qui ouvrent des comptes sur des services personnels avec leur adresse e-mail professionnelle. La présence de l’adresse professionnelle et du mot de passe d’un salarié dans une liste d’identifiants ne prouve pas que les systèmes de l’entreprise ont été compromis; elle donne toutefois aux attaquants la possibilité de tester des identifiants sur le domaine de l’entreprise. L’évaluation doit porter en priorité sur les comptes des administrateurs et des équipes financières, des ressources humaines, d’assistance et techniques. Les organisations doivent surveiller de près les tentatives de connexion échouées, les localisations inhabituelles et les sessions ouvertes depuis de nouveaux appareils.

Le troisième groupe à risque comprend les utilisateurs dont les appareils ont pu exécuter par le passé un logiciel malveillant qui dérobe des informations. Si les données proviennent d’une telle source, un simple changement de mot de passe peut ne pas suffire. Les mots de passe enregistrés dans le navigateur, les cookies de session et les données de formulaires peuvent également être menacés. Les utilisateurs doivent analyser leurs appareils avec un logiciel de sécurité fiable, supprimer les extensions de navigateur inconnues, fermer les sessions ouvertes et utiliser une clé de sécurité ou une authentification à deux facteurs robuste pour les comptes critiques.

Les utilisateurs pour lesquels une correspondance a été détectée doivent commencer par changer les mots de passe de leurs comptes de messagerie, puis ceux de tous leurs comptes critiques. Il faut renoncer complètement aux mots de passe identiques ou similaires et choisir un mot de passe long et unique pour chaque service. Un gestionnaire de mots de passe permet de fiabiliser cette démarche. Ajouter un chiffre à la fin d’un ancien mot de passe ou modifier légèrement une lettre ne suffit pas : les attaquants peuvent facilement essayer ces variantes.

La deuxième étape consiste à activer l’authentification multifacteur. Une application d’authentification ou une clé de sécurité matérielle offre une meilleure protection qu’un simple code reçu par SMS. Dans les paramètres des comptes, il faut vérifier les sessions ouvertes, les appareils non reconnus, les adresses e-mail de récupération récemment ajoutées, les règles de transfert et l’historique récent des connexions. Les sessions suspectes doivent être fermées, les informations de récupération mises à jour et les notifications de sécurité maintenues actives.

La troisième étape consiste à vérifier la sécurité des appareils. En raison du risque lié aux logiciels malveillants qui dérobent des informations, les utilisateurs doivent mettre à jour leurs ordinateurs et leurs téléphones, supprimer les applications inconnues, examiner les extensions de navigateur et lancer une analyse de sécurité fiable. Si un compte professionnel, un compte financier ou le compte de messagerie principal a été utilisé sur le même appareil, il faut également fermer les sessions de ces comptes et en contrôler les accès.

À long terme, la protection la plus efficace repose sur l’utilisation systématique de mots de passe uniques et sur une authentification à deux facteurs robuste. Lorsqu’un mot de passe distinct est utilisé pour chaque service, les identifiants présents dans une liste ne peuvent pas être réutilisés sur d’autres comptes. Les utilisateurs doivent générer des mots de passe aléatoires avec un gestionnaire de mots de passe, fermer leurs anciens comptes, mettre fin aux sessions sur les services inutilisés et prendre l’habitude de vérifier régulièrement la présence de leurs données dans des fuites.

Pour les organisations, une stratégie pérenne consiste à surveiller la présence des adresses e-mail des salariés dans les collections externes d’identifiants et à hiérarchiser les résultats selon le niveau de risque. Pour les comptes disposant de privilèges élevés, il convient de combiner clés de sécurité, authentification multifacteur obligatoire, contrôles de connexion fondés sur le risque et règles de blocage des mots de passe ayant fuité. Les demandes de réinitialisation de mot de passe adressées à l’assistance doivent être confirmées au moyen d’une authentification forte.

Cet incident montre également que la bonne hygiène de sécurité des appareils est aussi importante que la sécurité des mots de passe. Les utilisateurs ne doivent pas différer les mises à jour du système d’exploitation et du navigateur. Ils doivent éviter les logiciels piratés et les modules complémentaires inconnus, et n’utiliser leur compte de messagerie principal que sur des appareils de confiance. Les logiciels malveillants qui dérobent des informations pouvant cibler non seulement les mots de passe, mais aussi les sessions actives, la fermeture régulière des sessions et le suivi des notifications de sécurité font partie de la protection à long terme.

Si votre adresse e-mail apparaît dans la fuite de données « Listes d’identifiants publiées sur Telegram », n’y voyez pas la preuve d’une fuite directe touchant un service précis. Il est plus exact de considérer que votre adresse e-mail, votre nom d’utilisateur ou votre mot de passe a pu être inclus dans une vaste collection d’identifiants partagée par l’intermédiaire de canaux malveillants. L’objectif principal est de déterminer si le même mot de passe est utilisé sur d’autres comptes et de mettre rapidement fin à toute réutilisation.

Si la vérification révèle une correspondance, examinez en priorité vos comptes de messagerie, vos comptes financiers, vos réseaux sociaux, vos outils professionnels et vos services cloud. Pour tous les comptes critiques, utilisez des mots de passe uniques et l’authentification multifacteur, contrôlez les sessions et prenez les mesures nécessaires à la sécurité des appareils. Pour les adresses professionnelles, une surveillance par domaine facilite l’identification des comptes de salariés à traiter en priorité en fonction du risque. Des vérifications régulières aident à détecter tôt le risque lié à la réutilisation d’anciennes listes d’identifiants dans de nouvelles attaques par essais de connexion.