Fuite de données chez Dubsmash

Les catégories de données vérifiées sont les adresses e-mail, les informations de localisation géographique, les noms, les mots de passe, les numéros de téléphone, les langues parlées et les noms d’utilisateur. Selon les informations rapportées, le champ des mots de passe est associé à des empreintes de hachage PBKDF2; le risque persiste néanmoins pour les mots de passe faibles ou réutilisés. La présence conjointe de l’adresse e-mail, du nom d’utilisateur, du nom et du numéro de téléphone facilite la création, par des attaquants, de messages permettant d’identifier l’utilisateur. Les informations de localisation et de langue peuvent donner aux messages d’hameçonnage ciblés une apparence plus locale et plus convaincante. Cet incident ne doit donc pas être considéré comme limité à un ancien compte sur un réseau social vidéo : si la même adresse e-mail ou le même mot de passe a été utilisé sur d’autres services, les comptes actuels sont également exposés à un risque.

La fiche Dubsmash concerne l’incident de décembre 2018 sur la plateforme de messagerie vidéo. Le nombre vérifié de comptes à retenir est de 161 749 950. Les champs de données sont les adresses e-mail, les informations de localisation géographique, les noms, les mots de passe, les numéros de téléphone, les langues parlées et les noms d’utilisateur. La présence de mots de passe sous forme hachée doit être considérée comme une caractéristique technique du champ des mots de passe, et non comme une catégorie de données distincte. Les informations de carte de paiement, le contenu des messages privés, les pièces d’identité et les mots de passe en clair ne font pas partie des champs vérifiés pour cette fiche précise. La circulation ultérieure des données de cet incident avec d’autres lots de données issus de fuites ne signifie pas que la date de la fiche a changé : la fuite remonte principalement à 2018, et la date d’ajout vérifiée se situe en 2019.

Le risque le plus élevé concerne les personnes qui utilisent l’adresse e-mail associée à leur compte Dubsmash pour d’autres comptes de réseaux sociaux, de messagerie, d’achats, de jeux ou de services financiers. Si le même nom d’utilisateur est utilisé sur plusieurs plateformes, les attaquants peuvent établir des liens entre les comptes. Les utilisateurs dont le numéro de téléphone figure dans les données peuvent être ciblés par de faux appels d’assistance, des escroqueries par SMS ou des messages de récupération de compte. Même si le risque semble plus faible pour les jeunes utilisateurs, les comptes connus pour d’anciennes vidéos et les personnes qui ont oublié les adresses e-mail qu’elles n’utilisent plus, il persiste. La fermeture ultérieure de la plateforme ou son intégration à d’autres services ne supprime pas la valeur des liens entre les données d’identité exposées par le passé.

Si vous êtes concerné, commencez par changer le mot de passe utilisé pour votre compte Dubsmash et pour tous les autres comptes sur lesquels vous utilisez le même mot de passe. Donnez la priorité aux comptes de messagerie, aux profils sur les réseaux sociaux, au stockage dans le cloud, aux comptes d’achats et aux services auxquels des moyens de paiement sont associés. Choisissez un mot de passe unique pour chaque service et activez la vérification en plusieurs étapes partout où elle est proposée. Méfiez-vous des fausses notifications, des messages de vérification de compte et des liens promettant une récompense reçus sur votre numéro de téléphone. Fermez les sessions que vous ne reconnaissez pas sur vos comptes de réseaux sociaux, examinez les applications connectées et mettez à jour vos adresses e-mail de récupération. Si vous ne pouvez plus accéder à votre ancien compte Dubsmash, vérifiez plus attentivement les autres comptes utilisant la même adresse e-mail.

À long terme, séparez les informations d’identité utilisées sur les réseaux sociaux et les applications de divertissement de celles de votre messagerie principale et de vos comptes financiers. Un gestionnaire de mots de passe facilite la création de mots de passe uniques et robustes pour chaque service. Passez régulièrement en revue les adresses e-mail utilisées dans des applications anciennes ou fermées et assurez-vous de ne pas réutiliser le même mot de passe ailleurs. Dans les applications sociales qui demandent un numéro de téléphone et des informations de localisation, limitez autant que possible le partage de ces données. L’utilisation du même nom d’utilisateur sur de nombreuses plateformes accroît le risque de rapprochement entre les comptes; vous pouvez donc privilégier des noms différents selon les usages. Au sein des organisations, il est important de mettre en place des contrôles empêchant les employés d’utiliser, dans les systèmes professionnels, des mots de passe divulgués à la suite de fuites touchant leurs comptes personnels sur les réseaux sociaux.

Lorsqu’un résultat Dubsmash apparaît sur LeakData, cela signifie que l’adresse e-mail figure dans le jeu de données de la plateforme sociale vidéo datant de 2018. Ce résultat n’indique pas que vous utilisez encore ce service aujourd’hui; il montre toutefois que d’anciennes associations entre adresses e-mail, noms d’utilisateur et mots de passe peuvent être en circulation. Commencez par vous remémorer les mots de passe utilisés à cette période, puis vérifiez si vous utilisez le même mot de passe, ou un mot de passe similaire, sur d’autres comptes. Examinez d’abord votre compte de messagerie et les profils de réseaux sociaux que vous utilisez fréquemment. L’incident remonte principalement à décembre 2018, et sa date d’ajout vérifiée se situe en février 2019. Cette chronologie évite que l’écran « Sécurité des comptes » donne à tort l’impression d’un incident récent et indique précisément la période réelle du risque.