Fuite de données Couchsurfing (2020)

L’échantillon examiné à l’époque et les informations publiées au même moment faisaient état d’adresses e-mail, de vrais noms, d’identifiants utilisateur et de paramètres de compte dans les données mises en vente. Il a été expressément rapporté que le lot mis en vente ne contenait pas de mots de passe : cette fiche ne doit donc pas affirmer que des hachages de mots de passe, des mots de passe en clair ou des identifiants permettant une connexion directe ont été exposés. Les éléments fiables disponibles ne permettent pas non plus d’établir la présence de numéros de téléphone, de cartes de paiement, de messages privés, de documents d’identité, de données de localisation précise, d’historiques de voyage ou de textes de présentation des profils. L’association d’une adresse e-mail, d’un nom et d’un identifiant utilisateur propre à la plateforme peut néanmoins permettre des tentatives d’hameçonnage ciblées, l’envoi de spam et de faux messages d’assistance, ainsi que des rapprochements avec des profils trouvés dans des sources publiques. Le chiffre d’environ 17 millions correspond au nombre d’enregistrements de comptes annoncé dans l’offre de vente, et non à un décompte entièrement vérifié de personnes distinctes.

Le jeu de données est apparu au début du mois de juillet 2020, d’abord sur des canaux de messagerie privés, puis sur des forums criminels publics. Le vendeur affirmait que les enregistrements avaient été récupérés sur les serveurs de Couchsurfing et proposait le lot au prix de US$700. Un petit échantillon transmis à des journalistes spécialisés en sécurité contenait des identifiants utilisateur, de vrais noms, des adresses e-mail et des champs de paramètres de compte. L’entreprise a déclaré avoir fait appel à une société de cybersécurité externe pour enquêter et avoir contacté les forces de l’ordre. Aucun rapport final public sur l’incident n’a établi la date exacte de l’accès ni confirmé la méthode d’intrusion. Un fichier de sauvegarde placé au mauvais endroit a été évoqué comme source possible, mais il s’agissait d’une hypothèse et non d’une cause démontrée. Cette fiche retient donc le début de juillet 2020 comme période de l’incident, sans prétendre en préciser le jour. La présence de champs structurés propres aux comptes Couchsurfing distingue ces données d’un simple ensemble d’identifiants de connexion, mais l’absence de validation publique concluante impose de conserver ces réserves.

Les personnes les plus exposées sont celles qui disposaient d’un compte Couchsurfing avant 2020 et utilisaient leur vrai nom avec leur adresse e-mail principale. Connaître la plateforme, l’existence du compte et l’identifiant utilisateur permet à un attaquant de rédiger des notifications convaincantes concernant la sécurité, les frais d’adhésion, la vérification du profil, les demandes d’hébergement ou les échanges liés aux voyages. L’absence de mots de passe dans le jeu de données signalé n’élimine pas le risque de prise de contrôle d’un compte : les attaquants peuvent toujours utiliser l’e-mail pour dérober un lien de réinitialisation de mot de passe, demander un code à usage unique ou diriger un membre vers une fausse page de connexion. Si la même adresse e-mail apparaît sur d’autres services, ces enregistrements peuvent faciliter le rapprochement de profils et des fraudes personnalisées. Des données d’identité anciennes peuvent rendre des escroqueries crédibles des années plus tard. La présence d’un compte dans le lot mis en vente ne prouve pas que quelqu’un y a accédé ni que des messages privés ont été lus; de telles conclusions exigent des preuves distinctes.

Si vous utilisez encore votre mot de passe Couchsurfing de 2020, ou si vous l’avez réutilisé ailleurs, remplacez-le sur chaque service concerné par un mot de passe long et unique, par précaution, même si aucun mot de passe n’a été signalé dans ce lot. Sécurisez d’abord votre compte de messagerie principal : vérifiez les sessions que vous ne reconnaissez pas, les règles de transfert et les adresses de récupération, puis activez l’authentification multifacteur. Vérifiez les paramètres de profil, de confidentialité et de communication dans Couchsurfing, et signalez toute modification que vous n’avez pas effectuée par l’intermédiaire du canal d’assistance officiel. Ne suivez pas les liens contenus dans des messages concernant le renouvellement de l’adhésion, des problèmes de paiement, l’approbation du profil, des demandes d’hébergement ou une assistance d’urgence en voyage. Ouvrez vous-même le site ou l’application et examinez le nom de domaine de l’expéditeur. Ne supposez pas qu’une personne qui connaît votre nom ou votre identifiant utilisateur est réellement un employé, un hôte ou un voyageur. Ne communiquez jamais de mot de passe, de code à usage unique ni d’informations de paiement en réponse à un message non sollicité; confirmez la demande par un autre canal de confiance.

Utilisez un gestionnaire de mots de passe pour générer un mot de passe unique pour chaque service, afin qu’une future fuite d’identifiants provenant d’une autre source ne permette pas de compromettre plusieurs comptes. Gardez l’authentification multifacteur activée sur votre messagerie et vérifiez régulièrement les options de récupération; les messages liés aux voyages peuvent servir de point de départ à une tentative de compromission de la boîte mail associée. Limitez la visibilité des informations superflues liées à votre vrai nom, des liens personnels et des textes de profil lorsqu’ils sont accessibles au public. Fermez les comptes liés aux voyages que vous n’utilisez plus, supprimez les connexions obsolètes à des services tiers et mettez régulièrement fin aux anciennes sessions. Un message contenant des informations exactes sur un compte ne prouve pas que son expéditeur est légitime ; les données issues de fuites aident les criminels à créer un contexte qui paraît authentique. Surveillez les alertes inattendues de réinitialisation de mot de passe, de nouvelle session et de changement d’adresse e-mail. Consultez les avis de sécurité ultérieurs uniquement via le domaine officiel de l’organisation.

Utilisez le champ de recherche sécurisé de cette page pour vérifier chacune des adresses e-mail, actuelles ou anciennes, que vous avez pu utiliser avec Couchsurfing avant 2020. Une correspondance peut indiquer que l’adresse figure dans des enregistrements associés à cet événement; cela ne signifie pas que le mot de passe a été exposé, qu’un tiers a pris le contrôle du compte ou que le profil complet est devenu public. Si vous obtenez un résultat, identifiez la boîte mail utilisée pour le compte, examinez son historique de sécurité et les paramètres Couchsurfing, puis remplacez les mots de passe réutilisés. L’absence de résultat ne constitue pas une garantie absolue : le jeu de données peut être incomplet, une adresse peut avoir été écrite différemment ou un autre incident peut être en cause. Saisissez uniquement l’identifiant pris en charge; ne soumettez jamais de mot de passe, de code à usage unique, de carte de paiement ni de contenu de message privé à un outil de vérification des fuites de données. Si une alerte inattendue apparaît, évitez le lien qu’elle contient et accédez à votre compte via l’application ou le domaine officiel.