ECCIE Fuite de données

L’un des éléments les plus critiques des enregistrements ECCIE est la combinaison du nom d’utilisateur et de l’adresse e-mail. Associer un nom d’utilisateur employé dans un contexte sensible à l’adresse e-mail réelle peut permettre de relier les profils en ligne d’une personne. La date de naissance peut faciliter la déduction des réponses à des questions de sécurité faibles dans les procédures de récupération de compte ou d’authentification. L’adresse IP peut fournir des indices limités, mais exploitables, sur la région de connexion de l’utilisateur, son fournisseur d’accès ou son historique de sessions.

Le champ du mot de passe ayant été trouvé sous forme de hachage MD5 salé, le risque ne se limite pas à la divulgation du profil. Un hachage ne signifie pas que le mot de passe est visible en clair; toutefois, des attaquants peuvent tenter de casser les hachages de mots de passe faibles ou réutilisés. Si l’utilisateur a employé le même mot de passe pour sa messagerie, ses réseaux sociaux, des forums ou des comptes financiers, cet ancien enregistrement de forum pourrait servir à lancer des tentatives de connexion automatisées sur d’autres comptes. Le caractère sensible du site accroît également le risque de chantage et d’hameçonnage ciblé.

Le périmètre vérifié de cette fiche comprend 536 923 enregistrements d’utilisateurs. La date conservée dans les données structurées est le 1er juillet 2021; l’incident a été ajouté aux registres publics de fuites de données à une date ultérieure. Cet écart de dates ne signifie pas que la fuite s’est produite en 2023. La date à afficher à l’utilisateur est celle de l’incident de 2021 associé au jeu de données. Le nombre indiqué correspond aux enregistrements de comptes uniques couverts; il ne faut pas en déduire avec certitude que chaque enregistrement correspond à une personne distincte et active.

Les catégories de données vérifiées sont la date de naissance, l’adresse e-mail, l’adresse IP, le mot de passe et le nom d’utilisateur. Le numéro de téléphone, l’adresse postale, les données de carte de paiement, les messages privés, le contenu du profil public ou les nom et prénom réels ne font pas partie des catégories de données vérifiées pour cette fiche. Présenter dans le texte des champs supplémentaires comme s’ils étaient présents, au seul motif que le contexte est sensible, induit l’utilisateur en erreur et peut lui causer un préjudice inutile. La bonne approche consiste à se concentrer sur les informations d’identité vérifiées et sur le risque pour la vie privée.

Les personnes les plus exposées sont celles qui utilisent l’adresse e-mail de leur compte ECCIE sur d’autres comptes et réutilisent le même mot de passe. Le contexte sensible du forum augmente la probabilité qu’un attaquant cherche à embarrasser l’utilisateur, à le menacer ou à faire pression sur lui au moyen d’un message d’hameçonnage. Si le nom d’utilisateur est réutilisé sur d’autres forums, des comptes de réseaux sociaux ou des plateformes de messagerie, le risque de rapprochement entre les profils augmente.

Le risque est encore plus sérieux pour les personnes inscrites avec une adresse e-mail professionnelle, car leur inscription à un forum à titre personnel peut être associée à leur identité professionnelle. Le champ de l’adresse IP peut également permettre de déduire un lieu précis ou un contexte réseau. Ces déductions ne sont pas toujours certaines, mais elles peuvent suffire à convaincre un utilisateur dans un message ciblé. Les utilisateurs concernés doivent donc revoir non seulement leurs mots de passe, mais aussi leurs habitudes en matière de confidentialité et de séparation des identités.

Si votre adresse e-mail figure dans les données ECCIE, la première étape consiste à vous assurer que le mot de passe utilisé pour ce compte n’est employé sur aucun autre compte. Si vous avez utilisé le même mot de passe ou un mot de passe similaire, changez immédiatement les mots de passe de votre messagerie, de vos réseaux sociaux, de vos comptes sur des forums et de vos comptes personnels importants. Les nouveaux mots de passe doivent être uniques et conservés dans un gestionnaire de mots de passe. Activez l’authentification à deux facteurs sur votre compte de messagerie et vérifiez la présence de sessions inconnues ainsi que les règles de transfert.

Compte tenu du contexte sensible, méfiez-vous des messages reçus qui contiennent des menaces, cherchent à vous faire honte ou évoquent une fermeture de compte, une vérification de sécurité ou une demande de paiement. Ne cliquez pas sur les liens du message et n’effectuez aucun paiement. Les messages qui s’appuient sur votre adresse IP et votre nom d’utilisateur peuvent paraître plus convaincants; toutefois, ne donnez suite à aucune demande qui n’a pas été vérifiée par les canaux officiels. Renforcez les paramètres de confidentialité des autres comptes sur lesquels vous utilisez le même nom d’utilisateur.

Cet incident montre que les comptes utilisés dans des contextes sensibles doivent être séparés des autres identités numériques. Les utilisateurs devraient employer des adresses e-mail différentes selon les usages et éviter les noms réels ou les noms d’utilisateur fréquemment utilisés pour leurs comptes sensibles. Ne pas réutiliser les mots de passe est une exigence de base; pour les sites sensibles, il convient toutefois d’adopter une approche qui comprend des alias d’adresse e-mail, l’authentification à deux facteurs et le partage d’un minimum d’informations de profil.

Pour les organisations, cette fiche rappelle le risque que peut créer l’utilisation, par des salariés, de leur adresse e-mail professionnelle pour des comptes personnels et sensibles. Les équipes de sécurité doivent évaluer ces fuites non seulement sous l’angle des mots de passe, mais aussi sous celui du chantage, de l’ingénierie sociale et du ciblage de l’identité professionnelle. La consultation des enregistrements de fuites sensibles et la production de rapports à leur sujet doivent protéger la vie privée; des tiers ne devraient pas pouvoir déterminer facilement si une personne figure dans de telles données.

Si votre adresse e-mail figure dans ces données, cessez rapidement de réutiliser le mot de passe concerné, sans paniquer. Passez en revue les autres comptes sur lesquels vous utilisez le même nom d’utilisateur, vérifiez la sécurité de votre messagerie et activez l’authentification à deux facteurs. Cette fiche ne confirme pas de fuite de numéros de téléphone, d’adresses postales, de données de cartes de paiement ou de messages privés; toutefois, la combinaison de l’adresse e-mail, de l’adresse IP, de la date de naissance, du nom d’utilisateur et du hachage du mot de passe présente un risque élevé pour la vie privée.

La bonne démarche consiste à renforcer à la fois la sécurité des comptes et la séparation des identités. Ne répondez pas aux messages suspects, ne cliquez pas sur les liens, conservez une trace des menaces ou des demandes de paiement et contactez, si nécessaire, la plateforme ou les services de sécurité concernés. La fuite de données ECCIE montre qu’un compte utilisé dans un contexte sensible doit être traité avec précaution, non seulement pour la sécurité du mot de passe, mais aussi pour la protection de la vie privée et de la réputation.