Fuite de données chez Cutout.Pro

Les catégories de données confirmées sont les adresses e-mail, les adresses IP, les noms et les mots de passe. Les mots de passe n’étaient pas stockés en clair, mais sous forme de hachages MD5 salés. L’ajout d’un sel permet à des mots de passe identiques de produire des hachages différents et protège contre les tables arc-en-ciel précalculées. Cependant, MD5 est un algorithme rapide et peu robuste pour le stockage des mots de passe selon les exigences actuelles. Les mots de passe courts, courants ou fondés sur des mots du dictionnaire restent donc vulnérables aux attaques par essais de mots de passe hors ligne. L’association d’une adresse e-mail et d’un nom peut faciliter un hameçonnage ciblé, tandis qu’une adresse IP peut donner des indications approximatives sur le réseau ou la région de connexion. Les numéros de téléphone, les adresses postales, les cartes de paiement et les fichiers photo ou vidéo traités par les utilisateurs ne font pas partie des catégories de données confirmées. Le chiffre de 19 972 829 figurant sur cette page correspond au nombre de comptes vérifié qui fait référence; il ne doit pas être additionné à la valeur arrondie de « 20 millions » utilisée pour décrire la fuite.

La date de référence de la fuite est le 26 février 2024. La première alerte publique signalant la publication d’environ 20 millions de fiches utilisateurs sur un forum de cybercriminalité est apparue le 27 février; des rapports indépendants publiés le 29 février et le 4 mars ont porté l’incident à la connaissance d’un public plus large. La fiche vérifiée a été ajoutée au catalogue des fuites le 28 février. Les enregistrements ont été directement attribués à des comptes Cutout.Pro et validés à partir des quatre champs de référence. Les hachages MD5 salés ne sont pas des mots de passe directement lisibles, mais la rapidité de calcul de MD5 permet à un attaquant de tester un grand nombre de mots de passe possibles. Les sources fiables n’ont établi ni le mode d’accès initial, ni la vulnérabilité exploitée, ni la durée pendant laquelle un intrus aurait pu conserver son accès; aucune déduction n’est donc faite ici sur ces points. Il s’agit d’une fuite vérifiée de base de données attribuée à l’infrastructure de Cutout.Pro, et non d’une compilation de mots de passe provenant de sites web sans lien entre eux ou de données issues d’un logiciel malveillant voleur d’informations.

Les personnes les plus exposées sont celles qui avaient créé un compte Cutout.Pro au plus tard en février 2024. Toute personne ayant réutilisé le même mot de passe pour sa messagerie, ses réseaux sociaux, son stockage cloud, un outil de conception ou un autre service d’IA court un risque accru de prise de contrôle de ses comptes. Un hachage MD5 salé n’est pas le mot de passe lui-même, mais si un mot de passe faible est retrouvé par essais hors ligne, la valeur récupérée peut être essayée sur d’autres services. Les agences de design, les équipes de commerce en ligne, les photographes et les développeurs utilisant les outils d’accès programmatique du service peuvent recevoir de faux messages ciblés : factures, alertes de quota, renouvellements d’abonnement ou messages de partage de fichiers. Leurs adresses e-mail professionnelles fournissent en effet des éléments de contexte utiles. Une adresse IP peut indiquer approximativement la région de connexion ou le fournisseur du réseau d’entreprise, mais elle ne permet pas d’établir une localisation précise. Cette fiche ne confirme pas que les fichiers image traités ont été exposés; elle ne doit donc pas être interprétée comme une preuve de fuite des photographies privées des utilisateurs.

Votre première priorité est de remplacer le mot de passe que vous utilisiez pour Cutout.Pro au moment de la fuite, partout où il est encore utilisé, par un mot de passe fort et unique. Sécurisez d’abord le compte de messagerie associé, car des liens de réinitialisation de mot de passe et des notifications de sécurité peuvent y être envoyés. Activez l’authentification multifacteur sur vos comptes de messagerie, de stockage cloud, de paiement et de conception, en privilégiant une application d’authentification, une clé d’accès ou une clé de sécurité matérielle lorsque ces options sont disponibles. Examinez les sessions Cutout.Pro actives, les applications connectées et les clés d’accès programmatique; fermez les sessions que vous ne reconnaissez pas et remplacez les clés suspectes. Pour changer votre mot de passe, saisissez cutout.pro dans votre navigateur au lieu de suivre un lien reçu dans un message. Vérifiez le domaine de l’expéditeur des messages qui cherchent à créer un sentiment d’urgence, par exemple « votre fichier a été traité », « vos crédits ont expiré » ou « votre abonnement a été suspendu ».

Créer un mot de passe aléatoire et unique pour chaque service évite que le cassage d’un seul hachage de mot de passe ait des conséquences sur d’autres comptes. Conservez vos identifiants dans un gestionnaire de mots de passe de confiance et protégez son compte principal avec une authentification multifacteur robuste. Utilisez des clés d’accès lorsqu’elles sont disponibles pour moins dépendre des mots de passe. Pour les comptes d’équipe, créez des accès individuels et attribuez des autorisations selon les rôles au lieu de partager un même identifiant de connexion. Retirez rapidement les accès des anciens membres du personnel. Ne placez jamais de clés d’accès programmatique dans du code source, des dépôts publics ou des messages destinés à l’assistance; remplacez-les régulièrement et n’accordez que les autorisations nécessaires. Évaluez le caractère sensible des fichiers de vos clients avant de les envoyer à un service de traitement d’images, retirez les pièces d’identité ou les métadonnées inutiles et examinez les clauses contractuelles relatives à la conservation des données. Des notifications en continu en cas de fuite de données peuvent vous aider à réagir rapidement si la même adresse e-mail apparaît dans un autre incident.

Pour savoir si vous figurez dans les données de la fuite Cutout.Pro, vérifiez, auprès d’un service de recherche de fuites de confiance, chacune de vos adresses e-mail actuelles et anciennes que vous avez pu utiliser jusqu’en 2024. Un résultat positif signifie que l’adresse figure dans un jeu de données vérifié qui peut inclure un nom, une adresse IP et un hachage MD5 salé du mot de passe. Cela ne prouve pas que le mot de passe a été cassé, mais constitue un avertissement suffisant pour ne plus le considérer comme sûr. Incluez vos anciennes adresses professionnelles : une boîte de messagerie fermée peut rester dans un enregistrement historique alors que le même mot de passe est encore utilisé ailleurs. Consignez le résultat sans redistribuer de données personnelles et donnez la priorité aux changements de mots de passe, en commençant par les comptes de messagerie, les comptes financiers et les comptes cloud. Ne recherchez pas l’adresse d’une autre personne sans son autorisation; utilisez ces informations uniquement pour protéger vos propres comptes ou les ressources de votre organisation que vous êtes autorisé à administrer.