Dailymotion Fuite de données

Les types de données vérifiés dans le jeu de données Dailymotion sont les adresses e-mail, les mots de passe et les noms d’utilisateur. Les adresses e-mail peuvent servir à l’hameçonnage ciblé, au rapprochement de comptes, à l’envoi de courriers indésirables et de fausses notifications de sécurité. Les noms d’utilisateur peuvent aider à relier une même personne à d’autres comptes sur des réseaux sociaux, des services de vidéos, des plateformes de jeux ou des forums. Le champ des mots de passe contient des empreintes bcrypt et ne doit pas être interprété comme contenant des mots de passe en clair.

Bcrypt offre une protection plus solide que les méthodes de hachage rapides; néanmoins, les mots de passe faibles ou déjà présents dans d’autres jeux de données peuvent finir par être devinés. Des attaquants peuvent essayer la même combinaison d’adresse e-mail, de nom d’utilisateur et de mot de passe sur des réseaux sociaux, des comptes de messagerie, des sites marchands, des services de jeux, de vidéos et de stockage dans le cloud, ainsi que sur des comptes professionnels. Le risque ne se limite donc pas au seul compte Dailymotion.

Pour Dailymotion, la date de la fuite à retenir est le 20 octobre 2016, la date d’ajout de la fiche est le 7 août 2017 et le nombre de comptes concernés est de 85 176 234. Les champs de données vérifiés sont les adresses e-mail, les noms d’utilisateur et les mots de passe. Le champ des mots de passe correspond au format d’empreinte bcrypt; cette distinction est importante pour présenter avec précision le risque pour les utilisateurs.

Dans la présentation du périmètre, les numéros de téléphone, les adresses postales, les cartes de paiement, les pièces d’identité, les messages privés, l’historique de navigation, l’historique des vidéos mises en ligne ou les noms réels ne doivent en aucun cas être présentés comme des données ayant fuité. Le périmètre établi concerne les risques liés aux identifiants de compte et aux empreintes de mots de passe. L’avertissement adressé aux utilisateurs doit porter sur la réutilisation des mots de passe, l’hameçonnage par e-mail, le rapprochement des noms d’utilisateur et la vérification de la sécurité des comptes.

Le principal groupe à risque comprend les personnes qui possédaient un compte Dailymotion en 2016 ou avant, ou qui utilisaient le même nom d’utilisateur et la même adresse e-mail pour des services de vidéos, de réseaux sociaux, de jeux et de divertissement. Les utilisateurs qui réutilisent le même mot de passe pour leur messagerie, leurs réseaux sociaux, leurs comptes sur des sites marchands ou des plateformes de jeux, leurs services de stockage dans le cloud ou leurs comptes professionnels sont davantage exposés.

Les personnes qui mettent des vidéos en ligne, gèrent des chaînes ou utilisent des comptes de marque doivent se méfier des messages évoquant de faux avis concernant les droits d’auteur, le retrait de contenus, la sécurité d’une chaîne, les abonnements, les revenus publicitaires ou des avertissements concernant un ancien compte. Les attaquants peuvent rédiger des messages qui semblent s’inscrire dans une relation légitime avec un service, même s’ils ne connaissent que l’adresse e-mail et le nom d’utilisateur. En cas de réutilisation du mot de passe, le risque s’étend à d’autres comptes.

Les utilisateurs dont le compte est retrouvé dans les données Dailymotion doivent changer le mot de passe de leur compte Dailymotion et de tous les comptes sur lesquels le même mot de passe est utilisé. La priorité doit être donnée aux comptes de messagerie, de réseaux sociaux, de sites marchands, de jeux, de vidéos, de stockage dans le cloud et aux comptes professionnels. Les nouveaux mots de passe doivent être longs, uniques et choisis parmi ceux enregistrés dans un gestionnaire de mots de passe.

L’authentification à deux facteurs doit être activée sur tous les comptes importants qui la prennent en charge. Les sessions actives et les appareils connectés doivent être vérifiés, et les sessions inconnues doivent être fermées. Pour protéger les comptes vidéo, il convient de se connecter depuis le site web connu du service ou son application officielle avant de cliquer sur des liens dans des messages concernant les droits d’auteur, une chaîne, un abonnement, les revenus publicitaires ou des alertes relatives aux mots de passe. Les codes à usage unique, les mots de passe des comptes et les liens de récupération ne doivent être communiqués dans aucun échange avec un service d’assistance.

À long terme, un mot de passe unique pour chaque service, un gestionnaire de mots de passe et l’authentification à deux facteurs constituent des protections de base. Les comptes de médias et de vidéos ne sont souvent pas considérés comme critiques; pourtant, lorsque la même adresse e-mail, le même nom d’utilisateur et le même schéma de mot de passe sont utilisés, leurs données peuvent servir à tenter d’accéder à des services plus importants.

Les utilisateurs doivent régulièrement passer en revue leurs anciens comptes de vidéos, de jeux, de forums et de réseaux sociaux, fermer ceux qui ne sont plus nécessaires et tenir à jour leurs adresses e-mail de récupération. Le hachage des mots de passe avec Bcrypt complique la tâche des attaquants; la réutilisation des mots de passe affaiblit toutefois cette protection. Lorsque l’adresse e-mail et le nom d’utilisateur sont exposés, les messages ciblés peuvent se poursuivre longtemps. Les liens suspects doivent donc être vérifiés par un autre canal.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans le jeu de données Dailymotion. Un résultat positif signifie que l’adresse e-mail est présente dans ce jeu de données et que les champs de données vérifiés doivent être pris en compte dans l’évaluation des risques. Ce résultat ne prouve pas que des données de carte de paiement, un numéro de téléphone, un historique de navigation ou le contenu de messages privés ont été exposés.

Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans le jeu de données Dailymotion; il n’exclut pas la possibilité d’une présence dans d’autres fuites de données. Les utilisateurs qui obtiennent un résultat positif doivent cesser de réutiliser leurs mots de passe, activer l’authentification à deux facteurs, examiner les anciennes sessions et vérifier par un autre canal les messages de sécurité concernant leurs comptes de vidéos ou de médias.