Comcast Fuite de données

Les types de données vérifiés sont les adresses e-mail, les mots de passe et les adresses postales. Une combinaison d'adresse e-mail et de mot de passe fait partie des données les plus directement exploitables par un attaquant. Si un utilisateur a employé le même mot de passe pour plusieurs comptes, une seule fuite peut donner lieu à des tentatives d'accès à ses comptes de messagerie, de réseaux sociaux, d'achats, de services financiers, de stockage dans le cloud ou à ses comptes professionnels. Le fait que le mot de passe figure en clair dans la liste permet à un attaquant de tenter des connexions automatisées sans avoir à recourir à un processus complexe de cassage de mot de passe.

La présence d'adresses postales dans certaines entrées accroît encore le risque. L'utilisation conjointe de l'adresse du domicile, de l'adresse e-mail et du mot de passe peut rendre plus crédibles des scénarios reposant sur de fausses factures, des notifications de livraison, des renouvellements d'abonnement, des configurations de modem, des tickets d'assistance ou des rappels de paiement. Les adresses peuvent également servir à instaurer un climat de confiance dans le cadre de l'ingénierie sociale. Un message personnalisé en fonction du lieu de résidence de l'utilisateur peut sembler plus convaincant qu'un simple message d'hameçonnage envoyé en masse.

Cette fiche couvre 616 882 comptes touchés. La partie principale du jeu de données lié à l'incident contient environ 590 000 combinaisons d'adresses e-mail et de mots de passe, tandis que la partie complémentaire comprend environ 27 000 comptes associés à des adresses postales. Le nombre affiché dans le système correspond donc au périmètre obtenu après fusion des différentes parties et suppression des doublons. La date retenue pour la fiche reste le 8 novembre 2015; les dates d'ajout et de mise à jour ultérieure peuvent différer de la date de l'incident.

Les catégories de données vérifiées sont l'adresse e-mail, le mot de passe et l'adresse postale. Pour cette fiche, le numéro de sécurité sociale, la date de naissance, la carte de paiement, le compte bancaire, la question de sécurité, le nom d'utilisateur et les échanges avec l'assistance clientèle ne font pas partie des catégories de données vérifiées. Par ailleurs, l'entreprise avait déclaré à l'époque ne pas avoir confirmé de compromission directe de ses propres systèmes internes. Cette fiche doit donc être considérée comme portant sur un jeu de données de comptes Comcast qui a circulé et dont les éléments pertinents pour la sécurité des utilisateurs ont été vérifiés, et non comme la preuve que ces données ont été « assurément volées dans les systèmes de Comcast ».

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte Comcast sur d'autres comptes. La même combinaison d'adresse e-mail et de mot de passe peut être testée sur différents services, ce qui présente un risque notamment pour les anciens comptes de messagerie, les services financiers autres que les services bancaires en ligne, les sites d'achats, les plateformes de streaming et les comptes de réseaux sociaux. Même si le mot de passe est ancien, les attaquants peuvent essayer des variantes proches si l'utilisateur l'a conservé ailleurs en ne le modifiant que légèrement.

Les utilisateurs dont l'adresse postale figure dans la liste peuvent être confrontés à des tentatives de fraude plus ciblées. Les messages prétendant concerner un abonnement internet, un remplacement de modem, un rendez-vous d'intervention, une réduction sur une facture, une livraison de colis ou une vérification d'adresse doivent être examinés avec attention. Le fait que l'expéditeur connaisse la bonne adresse du domicile ne rend pas le message digne de confiance. Si des membres de la famille utilisent la même adresse et des adresses e-mail construites de manière similaire, les attaquants peuvent également les prendre pour cible. Le risque peut donc concerner non seulement un compte, mais aussi la sécurité en ligne des personnes vivant à la même adresse.

Un utilisateur qui constate une correspondance dans cette fiche doit d'abord changer le mot de passe de son compte Comcast, puis mettre à jour, un par un, les autres comptes sur lesquels il utilise le même mot de passe ou un mot de passe similaire. Les nouveaux mots de passe doivent être uniques et longs et, si possible, générés à l'aide d'un gestionnaire de mots de passe. Le compte de messagerie doit être particulièrement protégé, car il constitue le point central de réception des liens de réinitialisation de mot de passe. Il faut y activer l'authentification multifacteur et vérifier l'historique des sessions ainsi que les paramètres de transfert des messages.

Les utilisateurs dont l'adresse postale est concernée doivent se montrer plus méfiants face aux messages relatifs aux abonnements ou aux factures. Il ne faut pas ouvrir de liens inattendus ni communiquer de codes de vérification, de mots de passe ou d'informations de paiement, ou accorder d'autorisations d'accès à distance, lors d'appels reçus. Lorsqu'une opération au nom de Comcast ou de Xfinity est nécessaire, l'utilisateur doit saisir lui-même le nom de domaine officiel qu'il connaît pour l'effectuer. Il ne faut pas considérer que le risque a disparu au seul motif que l'incident est ancien : les combinaisons d'adresses e-mail et de mots de passe peuvent être utilisées dans des attaques par force brute, même des années plus tard.

L'incident Comcast montre que les anciennes listes de mots de passe restent importantes pour la sécurité des comptes, même des années plus tard. Les utilisateurs doivent choisir un mot de passe unique pour chaque service, ne pas réutiliser d'anciens mots de passe et activer une vérification supplémentaire sur les comptes sensibles. Un gestionnaire de mots de passe facilite à la fois la création de mots de passe uniques et le suivi des services sur lesquels d'anciens mots de passe ont été utilisés. Les comptes de messagerie, les comptes auprès des opérateurs téléphoniques et les espaces de gestion des abonnements internet doivent notamment être protégés séparément.

Lorsqu'une fuite contient des adresses, une stratégie à long terme ne se limite pas au changement des mots de passe. Les utilisateurs doivent considérer comme un risque persistant les messages de fausse facturation, de faux services techniques, de renouvellement de modem, de notification de livraison ou de renouvellement d'abonnement. Il faut aussi expliquer ce risque aux autres personnes du foyer, car les messages frauduleux peuvent viser non seulement la personne concernée par la fuite, mais également quelqu'un d'autre vivant à la même adresse. Le croisement de données issues d'anciennes fuites avec d'autres jeux de données peut permettre des attaques plus convaincantes.

Une correspondance trouvée dans cette fiche indique que l'adresse e-mail concernée figurait parmi les comptes recensés dans le jeu de données Comcast de 2015. Elle ne signifie pas que le compte Comcast ou Xfinity actuel de l'utilisateur est compromis aujourd'hui; elle indique toutefois que le mot de passe utilisé par le passé et, le cas échéant, l'adresse postale ont pu être exposés. La priorité de l'utilisateur doit donc être de cesser de réutiliser ce mot de passe et de s'assurer que la même combinaison n'est pas utilisée sur d'autres comptes.

L'utilisateur doit d'abord mettre à jour son compte Comcast et tous les autres comptes utilisant le même mot de passe. Il doit ensuite activer une vérification supplémentaire sur son compte de messagerie, examiner les notifications de sécurité et fermer les sessions suspectes. Si son adresse postale a pu être divulguée, il doit vérifier par un autre canal les demandes reçues sous prétexte de vérification d'adresse ou de rendez-vous d'intervention. Même si l'incident est ancien, les combinaisons d'identifiants exposées et les adresses peuvent être utilisées longtemps dans des tentatives d'hameçonnage et de prise de contrôle de comptes.