DaFont Fuite de données

Les catégories de données vérifiées sont les adresses e-mail, les noms d’utilisateur et les mots de passe. Le champ du mot de passe contient une empreinte MD5 sans sel; cela ne signifie pas que le mot de passe est publié sous une forme directement lisible. Néanmoins, MD5 étant une méthode de hachage rapide et peu sûre, les attaquants peuvent facilement deviner les mots de passe, surtout s’ils sont simples ou ont déjà été divulgués. L’absence de sel facilite également le rapprochement des comptes utilisant le même mot de passe, car leurs empreintes sont identiques.

Lorsqu’une adresse e-mail et un nom d’utilisateur sont présents ensemble, il peut être possible de faire le lien avec les comptes d’un utilisateur sur d’autres plateformes créatives, forums, communautés de designers ou réseaux sociaux. Un compte DaFont peut, à lui seul, sembler avoir peu de valeur; toutefois, le risque augmente si le même mot de passe a été utilisé sur d’autres services. Des messages frauduleux ciblés portant sur une police, une licence, un lien de téléchargement ou une alerte de compte peuvent paraître convaincants, en particulier pour les designers, les salariés d’agences ou les personnes qui utilisent la même adresse e-mail dans leurs outils professionnels.

Cette fiche couvre 637 340 comptes touchés et indique le 16 mai 2017 comme date de l’incident. Bien que certains rapports techniques mentionnent un nombre brut de lignes de base de données plus élevé, la valeur retenue dans cette fiche correspond au périmètre des comptes vérifiés. Les principales catégories de données concernées par l’incident sont l’adresse e-mail, le nom d’utilisateur et l’empreinte MD5 sans sel du mot de passe. Le site a ensuite déclaré avoir renforcé son système de stockage des mots de passe et imposé aux utilisateurs de changer leur mot de passe.

Dans cette fiche, les adresses IP, numéros de téléphone, adresses postales, données de cartes de paiement, comptes bancaires, dates de naissance, noms réels et contenus de messages privés ne sont pas considérés comme des catégories de données vérifiées. L’incident doit être considéré comme limité aux données des comptes utilisateurs DaFont. Une correspondance indique que l’adresse e-mail concernée figure dans le jeu de données DaFont; elle ne signifie pas que les fichiers de polices, les informations de paiement ou l’appareil de l’utilisateur ont été touchés.

Les personnes les plus exposées sont celles qui réutilisent le mot de passe de leur compte DaFont sur d’autres comptes. Les mots de passe des comptes anciens et jugés secondaires sont souvent oubliés; les attaquants peuvent toutefois s’en servir pour effectuer des tentatives de connexion automatisées. Si l’adresse e-mail et le nom d’utilisateur sont identiques, il est également possible de relier entre eux des comptes sur différentes communautés de designers ou différents réseaux sociaux.

Les designers, les salariés d’agences, les créateurs de polices et les utilisateurs actifs dans les communautés créatives sont davantage exposés à l’hameçonnage ciblé. De fausses licences de polices, notifications relatives aux droits d’auteur, archives à télécharger, fichiers de conception ou messages relatifs à la sécurité des comptes peuvent paraître authentiques. Pour les utilisateurs inscrits avec une adresse e-mail professionnelle, ce risque peut également concerner la sécurité de leur entreprise. Il faut donc prendre en compte non seulement le compte DaFont, mais aussi tous les comptes utilisant la même adresse e-mail et des mots de passe de la même famille.

Si vous constatez une correspondance dans cette fiche, changez le mot de passe de votre compte DaFont ainsi que celui de tous les comptes sur lesquels vous utilisez un mot de passe identique ou similaire. Les nouveaux mots de passe doivent être uniques, longs et difficiles à deviner. Protégez en priorité votre compte de messagerie, activez l’authentification multifacteur et vérifiez les sessions récentes. Les variantes de l’ancien mot de passe obtenues par de petites modifications ne doivent pas non plus être considérées comme sûres.

Soyez attentif aux messages inattendus portant sur le téléchargement de polices, une violation de licence, une notification relative aux droits d’auteur, un ensemble de fichiers gratuit, un fichier de conception ou une vérification de compte. Vérifiez le nom de domaine et l’expéditeur avant d’ouvrir les liens et les pièces jointes. Un expéditeur qui connaît votre nom d’utilisateur ou votre ancienne inscription à DaFont n’est pas pour autant digne de confiance. Ne communiquez pas vos mots de passe, codes de vérification, accès à votre messagerie ou informations de récupération de compte à des tiers.

L’incident DaFont montre que même les comptes de communautés créatives jugés secondaires comptent pour la sécurité des mots de passe. Utilisez un mot de passe unique pour chaque forum, site de téléchargement, communauté de designers et outil professionnel. Un gestionnaire de mots de passe permet de repérer plus facilement les services sur lesquels d’anciens mots de passe sont réutilisés et de générer des mots de passe robustes. Fermez les comptes inutilisés ou, au minimum, attribuez-leur un mot de passe unique.

À long terme, il est également utile de dissocier les noms d’utilisateur et les adresses e-mail. Lorsque la même combinaison de nom d’utilisateur et d’adresse e-mail est réutilisée dans différentes communautés de designers, les profils peuvent être facilement rapprochés. Les liens vers des fichiers et des polices utilisés dans le travail créatif pouvant contenir des logiciels malveillants ou mener à des tentatives d’hameçonnage, téléchargez uniquement depuis des sources de confiance et vérifiez par un autre canal les messages inattendus concernant des licences ou des droits d’auteur.

Une correspondance dans cette fiche indique que l’adresse e-mail concernée figure parmi les comptes présents dans la fuite de données DaFont de mai 2017. Elle ne signifie pas que l’incident s’est produit cette année; dans cette fiche, la date de l’incident est le 16 mai 2017. Le périmètre vérifié se limite à l’adresse e-mail, au nom d’utilisateur et à l’empreinte MD5 sans sel du mot de passe.

Commencez par changer les mots de passe de tous les comptes sur lesquels vous utilisez le même mot de passe, protégez votre compte de messagerie avec l’authentification à deux facteurs et passez en revue les anciennes combinaisons de nom d’utilisateur et de mot de passe utilisées sur les plateformes créatives. Même si vous n’utilisez plus activement votre compte DaFont, le risque persiste si le même mot de passe a été utilisé sur d’autres services. Le format de hachage MD5 sans sel, associé à des mots de passe faibles, peut présenter un risque durable pour la sécurité des comptes.