Fuite de données chez dvd-shop.ch

Les types de données vérifiés sont les adresses e-mail et les mots de passe en clair. L’adresse e-mail permet d’identifier l’utilisateur auquel appartient le compte. Un mot de passe en clair peut être essayé directement par un attaquant, sans qu’il ait besoin de le casser. La fuite de données de dvd-shop.ch rend donc le changement de mot de passe plus urgent que dans certains incidents impliquant des mots de passe hachés. Lorsque l’adresse e-mail et le mot de passe sont présents ensemble, des attaquants peuvent essayer cette même combinaison sur différents sites web, comptes de messagerie, plateformes d’achat ou comptes de réseaux sociaux.

Le nombre limité de champs de données ne signifie pas que le risque est faible. Au contraire, une simple adresse e-mail accompagnée d’un mot de passe en clair peut suffire à mettre en danger plusieurs comptes en chaîne. Si le même mot de passe est utilisé pour le compte de messagerie principal, un attaquant peut tenter d’accéder aux liens de réinitialisation des mots de passe d’autres services. Si ce mot de passe est utilisé sur des sites d’achat, il peut exister un risque indirect d’accès à d’autres données, comme une adresse ou un moyen de paiement enregistré. Cette fiche constitue un avertissement important, notamment pour repérer les mots de passe anciens et réutilisés.

La date vérifiée retenue pour l’incident est le 5 décembre 2017, et la fiche a été ajoutée aux listes de fuites vérifiées aux alentours du 10 décembre 2017. Cette fiche retient 67 973 adresses e-mail uniques pour comptabiliser les comptes concernés. Certaines sources peuvent évoquer environ 68 mille ou 70 mille clients; ces formulations correspondent à des valeurs arrondies. Le nombre de référence utilisé pour la recherche est de 67 973. L’incident se limite aux comptes clients de la boutique suisse de DVD en ligne.

Il ne faut pas élargir ce périmètre. Dans cet incident, les numéros de carte de crédit, comptes bancaires, historiques de commandes, adresses postales, numéros de téléphone, noms et numéros de pièces d’identité officielles ne sont pas classés parmi les données vérifiées. Même s’il n’est pas toujours possible de prouver de manière définitive l’absence de ces champs, seuls les adresses e-mail et les mots de passe figurent dans les fiches de fuite vérifiées. Le risque présenté aux utilisateurs doit lui aussi reposer sur ces deux champs. Puisque des mots de passe en clair ont été trouvés, la mesure prioritaire consiste à éviter que le même mot de passe soit utilisé sur d’autres comptes.

Les clients qui ont ouvert un compte dvd-shop.ch avant 2017 et utilisé le même mot de passe sur d’autres comptes sont les plus exposés. Les anciens sites d’achat sont souvent oubliés; même si vous pensez avoir changé votre mot de passe, celui-ci peut subsister sur d’autres comptes. Les comptes de messagerie, réseaux sociaux, plateformes d’achat, forums et services liés à des paiements doivent être vérifiés en priorité. Les fuites de mots de passe en clair mettent en danger chaque compte sur lequel le mot de passe a été réutilisé, car l’attaquant n’a pas besoin de le deviner.

Si vous utilisez encore d’anciennes adresses e-mail, vous devez également faire preuve de prudence. Même si l’adresse présente dans la fuite n’est plus active aujourd’hui, vous pouvez l’avoir conservée comme adresse de récupération sur d’autres services. De plus, les anciens mots de passe sont souvent réutilisés avec de légères modifications; les attaquants peuvent par exemple deviner des variantes auxquelles une année ou un symbole a été ajouté à la fin. La fuite de données de dvd-shop.ch ne concerne donc pas seulement un compte sur une boutique fermée : elle invite aussi à déterminer où le mot de passe a été réutilisé.

Si le mot de passe utilisé pour dvd-shop.ch est encore en usage sur un compte, changez-le immédiatement. Si vous avez utilisé le même mot de passe ou un mot de passe similaire pour des comptes de messagerie, d’achat, de réseaux sociaux, de forums, de jeux ou de services financiers, attribuez à chacun un mot de passe unique et robuste. Protégez tout particulièrement votre compte de messagerie principal par une authentification à deux facteurs : si ce compte est compromis, les procédures de réinitialisation des mots de passe de vos autres comptes sont également menacées. Un gestionnaire de mots de passe facilite la création d’un mot de passe unique pour chaque compte.

Examinez attentivement les alertes de connexion suspecte, les messages inattendus de réinitialisation de mot de passe et les e-mails faisant référence à d’anciens comptes d’achat. Plutôt que de cliquer sur des liens, accédez directement au service concerné. Dans cet incident, les données de cartes de paiement et les historiques de commandes ne font pas partie du périmètre vérifié; néanmoins, des moyens de paiement peuvent être enregistrés sur d’autres sites d’achat où le même mot de passe est utilisé. La priorité est donc de vérifier systématiquement si l’ancien mot de passe est encore en usage sur d’autres comptes.

À long terme, incluez les comptes de boutiques anciens et inutilisés dans votre inventaire de sécurité. Même si un service a fermé, les mots de passe utilisés par le passé peuvent subsister sur d’autres sites. Chaque compte doit avoir un mot de passe unique, l’authentification à deux facteurs doit être activée sur les comptes critiques et les mots de passe réutilisés doivent être régulièrement remplacés. Passez en revue à intervalles réguliers vos anciennes adresses e-mail et vos inscriptions oubliées sur des sites d’achat. Comme le compte de messagerie est au cœur de toute la chaîne de récupération des comptes, sa protection doit être une priorité absolue.

Du côté des entreprises, l’incident dvd-shop.ch montre que même les petits sites de commerce en ligne ont besoin de normes exigeantes pour le stockage des mots de passe. Le stockage des mots de passe en clair porte directement préjudice aux utilisateurs en cas de fuite. Dans les systèmes modernes, les mots de passe doivent être protégés par des méthodes robustes, à sens unique et coûteuses en ressources; les données clients inutiles doivent être supprimées; les anciens comptes et les sauvegardes doivent être régulièrement audités. Même une petite boutique peut créer un risque en chaîne susceptible de toucher les autres services de ses utilisateurs lorsque les mots de passe sont réutilisés.

Si une correspondance apparaît dans cette fiche, votre adresse e-mail peut avoir figuré parmi les 67 973 adresses e-mail uniques associées à la fuite de données de dvd-shop.ch. Une correspondance ne signifie pas que les données de votre carte de paiement ou votre adresse ont été divulguées. Les champs vérifiés sont l’adresse e-mail et le mot de passe en clair. La première étape consiste donc à retrouver l’ancien mot de passe que vous utilisiez pour dvd-shop.ch et à vérifier si le même mot de passe, ou un mot de passe similaire, est encore utilisé sur d’autres comptes.

Si un ancien mot de passe est utilisé sur un compte, changez-le. Utilisez des mots de passe uniques pour votre compte de messagerie principal, vos comptes d’achat et vos comptes de réseaux sociaux. Activez l’authentification à deux facteurs, en particulier pour les comptes de messagerie et les comptes liés à des paiements. La bonne approche face à la fuite de données de dvd-shop.ch consiste à ne pas la considérer comme la simple fuite d’une petite boutique, mais à mettre rapidement fin à toute réutilisation du mot de passe en clair sur d’autres comptes.