Dropbox Fuite de données

Les types de données vérifiés sont les adresses e-mail et les empreintes de mots de passe. Une adresse e-mail ne suffit pas à accéder à un compte, mais elle peut servir à envoyer des messages d’hameçonnage, à mener des tentatives ciblées de découverte de mots de passe et à rapprocher des comptes sur différents services. Une empreinte de mot de passe n’est pas une version lisible du mot de passe; toutefois, des mots de passe faibles, des méthodes de hachage dépassées ou la réutilisation de mots de passe sur d’autres sites peuvent avantager les attaquants. Dans le cas de Dropbox, la présence de mots de passe en clair n’a pas été vérifiée; le risque provenait de l’inclusion d’empreintes salées dans des listes utilisées pour des attaques hors ligne.

Le principal danger vient de la réutilisation des mots de passe. Si un utilisateur a réutilisé un ancien mot de passe Dropbox pour son compte de messagerie, un réseau social, un outil professionnel, un compte d’achat en ligne, un service de stockage cloud ou un compte de jeu, des attaquants peuvent essayer la même combinaison d’adresse e-mail et de mot de passe sur différentes plateformes. Le fait de connaître l’adresse e-mail rend les fausses alertes de sécurité et les faux messages de partage de fichiers plus convaincants. Dans ce cas, les contenus de fichiers ne faisant pas partie des catégories de données vérifiées, il ne faut pas conclure que les fichiers ont été divulgués; cependant, si le mot de passe reste valable ailleurs, les conséquences peuvent toucher des comptes extérieurs à Dropbox.

La date retenue pour la fuite est juillet 2012. Le jeu de données est devenu plus largement accessible en août 2016, période durant laquelle la procédure de réinitialisation des mots de passe a été mise en avant. Le nombre de comptes vérifiés est de 68 648 009. Divers articles de presse peuvent mentionner des chiffres arrondis, tels que 68 millions ou 68,6 millions; le nombre servant de référence au mécanisme de recherche des utilisateurs est de 68 648 009. L’incident a été associé à l’utilisation abusive d’un mot de passe réutilisé sur un compte d’employé et à l’accès à des données contenant des identifiants d’utilisateurs.

Dans les données recensées, la présence de champs relatifs aux cartes de paiement, aux comptes bancaires, aux numéros de pièces d’identité officielles, aux numéros de téléphone, aux adresses complètes, aux contenus de fichiers ou aux documents privés n’a pas été vérifiée. Les champs vérifiés sont l’adresse e-mail et la représentation cryptographique du mot de passe. Certaines empreintes de mots de passe sont protégées par bcrypt, tandis que d’autres le sont par SHA-1; le risque de compromission n’est donc pas identique pour chaque compte. Néanmoins, si un ancien mot de passe est resté en usage sur différents comptes, l’incident peut encore présenter un risque de prise de contrôle de comptes et d’hameçonnage, même plusieurs années plus tard.

Les personnes les plus exposées sont celles qui possédaient un compte Dropbox avant 2012 et qui ont ensuite utilisé le même mot de passe ailleurs. Bien que la procédure de réinitialisation ait réduit le risque pour les comptes Dropbox, le problème persiste si cet ancien mot de passe est encore utilisé sur un autre service. Les adresses e-mail utilisant un domaine d’entreprise peuvent également être davantage exposées aux messages ciblés, car un attaquant peut tenter de déduire du domaine de messagerie l’organisation, le service auquel l’utilisateur est susceptible d’appartenir ou ses habitudes d’utilisation des fichiers dans le cloud.

Les anciens comptes nécessitent également une attention particulière. L’évaluation des risques doit inclure les adresses e-mail qui ne sont plus utilisées, les comptes personnels oubliés, les utilisateurs liés à des dossiers d’équipe et les appareils dont les sessions n’ont pas été examinées depuis longtemps. Le risque est plus élevé pour les personnes qui utilisent le même mot de passe pour leur compte de messagerie : si celui-ci est compromis, les procédures de récupération des autres comptes peuvent également être menacées. La fuite de données de Dropbox ne doit pas être abordée uniquement comme un problème de compte de stockage cloud, mais aussi sous l’angle des bonnes pratiques de gestion des mots de passe et de la sécurité des comptes liés entre eux.

La première étape consiste à vous assurer que le mot de passe utilisé pour Dropbox en 2012 n’est plus actif sur aucun compte. Si le même mot de passe, ou un mot de passe similaire, reste utilisé sur d’autres services, attribuez un mot de passe unique et robuste à chaque compte. Activez la vérification en deux étapes sur votre compte Dropbox et examinez les appareils connectés, les sessions actives et les connexions à des services tiers. Supprimez les appareils que vous ne reconnaissez pas, examinez les anciens liens de partage et désactivez les liens inutiles.

Protégez également votre compte de messagerie, car les messages de récupération de compte et les liens de réinitialisation de mot de passe arrivent souvent par e-mail. Méfiez-vous des faux messages concernant un quota de stockage, un partage de fichiers, une alerte de mot de passe ou une suspension de compte qui utilisent le nom Dropbox. Au lieu de cliquer sur le lien, accédez directement au service depuis votre navigateur et supprimez les messages suspects sans les ouvrir. Si vous avez utilisé le même ancien mot de passe pour un compte professionnel ou scolaire, informez l’équipe de sécurité et vérifiez l’historique des connexions des comptes concernés.

Pour protéger durablement les comptes de stockage cloud, les mots de passe uniques, la vérification en deux étapes et le contrôle régulier des sessions doivent être considérés comme des mesures fondamentales. L’utilisation d’un gestionnaire de mots de passe permet de repérer plus facilement si un ancien mot de passe Dropbox reste utilisé sur d’autres comptes. Examinez régulièrement les liens de partage, désactivez ceux qui sont inutiles et retirez les anciens appareils du compte. Si des fichiers personnels et professionnels sont conservés dans le même compte, les autorisations doivent faire l’objet d’une surveillance plus stricte et aucun accès inutile ne doit être maintenu dans les dossiers d’équipe.

Pour les entreprises, cet incident montre que la réutilisation des mots de passe des employés peut devenir un problème de sécurité majeur, touchant jusqu’aux identifiants des clients. Les comptes des employés doivent bénéficier d’une authentification forte, de mots de passe uniques, de restrictions d’accès, d’alertes en cas de connexion inhabituelle et de contrôles stricts de l’accès aux données sensibles. La protection des empreintes de mots de passe par des méthodes robustes limite les dommages, mais ne suffit pas à elle seule. La notification rapide des utilisateurs, les changements de mot de passe obligatoires, la détection des mots de passe faibles et les règles empêchant leur réutilisation doivent faire partie d’une même chaîne de défense.

Si vous obtenez un résultat correspondant à votre recherche, votre adresse e-mail a peut-être été retrouvée parmi les 68 648 009 comptes associés à la fuite de données de Dropbox. Ce résultat ne signifie pas que vos fichiers, vos documents privés ou vos informations de paiement ont été divulgués. Les champs de données vérifiés sont l’adresse e-mail et l’empreinte salée du mot de passe. Commencez par vous rappeler le mot de passe que vous utilisiez pour Dropbox à cette époque et vérifiez si le même mot de passe, ou un mot de passe similaire, est encore actif sur d’autres comptes.

Si vous utilisez toujours votre compte Dropbox, choisissez un mot de passe unique, activez la vérification en deux étapes et examinez les appareils connectés ainsi que les liens de partage. Si votre ancien mot de passe Dropbox a été utilisé sur d’autres services, modifiez-le également sur ces services. Protégez tout particulièrement votre compte de messagerie, car la récupération des autres comptes passe le plus souvent par celui-ci. Face à cet incident, la bonne démarche n’est pas de paniquer en supposant que vos fichiers ont été divulgués, mais de réduire méthodiquement le risque à long terme pour la sécurité des comptes lié à la combinaison de l’adresse e-mail et du mot de passe.