Fuite de données chez DatPiff

Les types de données vérifiés dans le jeu de données DatPiff sont les adresses e-mail, les noms d’utilisateur, les mots de passe ainsi que les questions de sécurité et leurs réponses. L’adresse e-mail et le nom d’utilisateur révèlent l’identité de la personne au sein de la communauté musicale de la plateforme. Le mot de passe peut directement présenter un risque de prise de contrôle du compte si le même mot de passe, ou un mot de passe similaire, a été utilisé sur d’autres services. Les questions de sécurité et leurs réponses peuvent être encore plus sensibles, car certains utilisateurs réutilisent les mêmes réponses pour récupérer leurs comptes de messagerie, de réseaux sociaux, de jeux, de paiement ou d’autres services multimédias.

Il est particulièrement important de décrire avec précision la nature des données relatives aux mots de passe. Selon les informations rapportées, les copies proposées à la vente ou mises en circulation se présentaient sous forme de paires adresse e-mail/mot de passe; la source d’origine contiendrait toutefois des noms d’utilisateur, des questions de sécurité et leurs réponses, ainsi que des mots de passe stockés à l’aide de MD5 avec un sel fixe. MD5 est considéré comme faible au regard des exigences actuelles en matière de sécurité; l’utilisation d’un sel fixe n’offre pas non plus de protection propre à chaque utilisateur. Les mots de passe ont donc pu être retrouvés par cassage ou par comparaison au fil du temps. Pour les utilisateurs, la démarche la plus appropriée consiste à considérer ce mot de passe comme n’étant plus sûr et à le remplacer sur tous les comptes où il a été réutilisé.

Le nombre 7 476 940 indiqué dans cette fiche correspond au nombre d’adresses e-mail vérifiées. Il ne doit pas être interprété comme le nombre de personnes physiques distinctes : les données peuvent comporter des entrées anciennes, des doublons ou plusieurs entrées appartenant à une même personne. La date de l’incident est enregistrée au 25 août 2021. Les données ont gagné en visibilité à la fin de 2021 et ont été ajoutées ultérieurement à des listes de fuites de données; cela ne change pas la date réelle de la fuite. DatPiff ayant autrefois compté un large public d’amateurs de mixtapes, les données peuvent aussi inclure d’anciens comptes qui ne sont plus utilisés activement.

La limite concernant les champs de données est claire : les adresses e-mail, les noms d’utilisateur, les mots de passe ainsi que les questions de sécurité et leurs réponses sont des champs vérifiés. Aucun autre champ de données à haut risque non vérifié ne doit être ajouté à cette fiche. Bien que cette fuite semble provenir de comptes sur une plateforme musicale, elle peut présenter un risque pour d’autres comptes en raison des questions de sécurité. Il ne faut toutefois pas présumer que chaque utilisateur emploie la même question de sécurité sur différents services. Le texte doit énumérer explicitement les champs vérifiés, sans élargir inutilement le périmètre.

Les personnes les plus exposées sont celles qui utilisent également sur d’autres services le mot de passe ou les réponses aux questions de sécurité de leur compte DatPiff. Les noms d’utilisateur sont souvent réutilisés sur les plateformes musicales et les communautés de type forum; le même pseudonyme peut aussi apparaître sur les réseaux sociaux, les plateformes de jeux, de messagerie ou de partage de contenus. Des attaquants peuvent tenter d’utiliser la combinaison adresse e-mail, nom d’utilisateur et mot de passe sur différents services. Une réponse à une question de sécurité présente un risque plus large, en particulier lorsqu’elle peut être réutilisée, comme dans le cas de questions portant sur l’« école primaire », le « nom de jeune fille de la mère » ou l’« artiste préféré ».

Les anciens utilisateurs de DatPiff ne sont pas non plus à l’abri. Un compte peut être inutilisé depuis longtemps alors que son mot de passe ou sa réponse de sécurité reste valable sur d’autres comptes. Après cette fuite, les utilisateurs qui n’ont pas changé d’adresse e-mail depuis des années peuvent recevoir des messages d’hameçonnage liés à la musique, aux mixtapes, à la récupération de comptes ou à d’anciennes notifications de la plateforme. Le risque est plus faible pour les personnes inscrites avec une adresse e-mail professionnelle, mais la situation devient sérieuse si le même mot de passe a été utilisé pour un compte professionnel. Il faut donc examiner cette inscription non seulement comme la trace d’une ancienne utilisation d’une plateforme de divertissement, mais aussi sous l’angle des bonnes pratiques en matière de mots de passe et de récupération de comptes.

Si votre compte correspond à une entrée du jeu de données DatPiff, la première étape consiste à changer le mot de passe utilisé sur DatPiff ainsi que celui de tous les comptes où vous utilisez le même mot de passe ou un mot de passe similaire. Vérifiez en priorité vos comptes de messagerie, de réseaux sociaux, de plateformes musicales, de jeux, de services de paiement et vos comptes professionnels. Les nouveaux mots de passe doivent être uniques et robustes. Un gestionnaire de mots de passe facilite le repérage des mots de passe réutilisés et la création de nouveaux mots de passe sûrs. Activez l’authentification multifacteur sur les comptes importants et fermez les sessions que vous ne reconnaissez pas.

La deuxième mesure urgente consiste à mettre à jour les réponses aux questions de sécurité. Si vous avez réutilisé sur d’autres services une réponse employée sur DatPiff, remplacez ces réponses par des valeurs imprévisibles et uniques. Pour les questions de sécurité, privilégiez des réponses aléatoires, que vous pouvez conserver dans un gestionnaire de mots de passe, plutôt que des informations tirées de votre vie réelle. Méfiez-vous des liens dans les messages évoquant DatPiff, des archives de mixtapes, des comptes de plateformes musicales ou la récupération d’anciens comptes, et connectez-vous depuis des adresses connues. Examinez également les notifications suspectes de réinitialisation de mot de passe.

L’incident DatPiff montre que les comptes de divertissement et de services multimédias peuvent eux aussi avoir des conséquences importantes sur la sécurité des comptes. Utilisez un mot de passe unique pour chaque plateforme, passez régulièrement en revue vos anciens comptes de services multimédias et de communautés, puis fermez les comptes inutilisés ou mettez à jour leurs mots de passe. Les réponses aux questions de sécurité ne doivent pas être de véritables informations personnelles; une même réponse ne doit pas être réutilisée sur différents services. Activez l’authentification multifacteur sur les comptes qui la proposent et protégez tout particulièrement votre compte de messagerie.

Pour les opérateurs de plateformes, la leçon est que les anciennes méthodes de stockage des mots de passe, telles que MD5 et les sels fixes, ne suffisent pas face aux menaces actuelles. Des sels robustes et uniques pour chaque utilisateur, des méthodes lentes de hachage des mots de passe, des tests de sécurité réguliers et l’absence de conservation inutile des données d’anciens comptes constituent des mesures de base. Les éléments servant à la récupération de comptes, comme les questions de sécurité et leurs réponses, doivent également être protégés et, si possible, remplacés par des méthodes de vérification plus sûres. Après une fuite, les utilisateurs doivent être informés de la nécessité de changer leur mot de passe, mais aussi de mettre à jour leurs réponses aux questions de sécurité.

Si le résultat de la vérification sur cette page fait apparaître une correspondance avec les données DatPiff, essayez d’abord de vous rappeler le mot de passe et les réponses aux questions de sécurité utilisés sur votre compte DatPiff. Si vous avez utilisé le même mot de passe ou la même réponse sur d’autres comptes, mettez-les tous à jour. Vérifiez d’abord vos comptes de messagerie, de réseaux sociaux, de services de paiement et de plateformes de jeux ou de musique. Si vous réutilisez votre nom d’utilisateur sur d’autres plateformes, examinez avec une attention accrue les tentatives de connexion inattendues et les messages de récupération de compte.

Bien que la fuite DatPiff soit ancienne, les mots de passe et les données liées aux questions de sécurité peuvent être utilisés pendant longtemps. Si le même mot de passe est encore valable sur un autre compte, le risque persiste aujourd’hui. Les réponses aux questions de sécurité peuvent elles aussi subsister discrètement sur des comptes oubliés et être utilisées à mauvais escient lors de futures procédures de récupération de comptes. Considérez cette fiche non comme une simple notification concernant une ancienne inscription sur la plateforme musicale, mais comme un avertissement concret vous invitant à éliminer les mots de passe réutilisés et à mettre à jour vos réponses aux questions de sécurité.