Exposition de données chez Emotet liée à un logiciel malveillant

Cette fiche contient des adresses e-mail et des mots de passe. Les logiciels malveillants comme Emotet peuvent recueillir des identifiants et des données de communication sur les systèmes infectés. La présence d’une adresse e-mail dans cette fiche suggère donc qu’un appareil ou une combinaison appareil-compte utilisés par le passé ont pu figurer dans l’écosystème du logiciel malveillant.

Bien que les catégories de données semblent limitées, le risque est élevé en raison du champ de mot de passe. Cette fiche ne contient pas de champs de profil tels que le numéro de téléphone, l’adresse ou les données de carte de paiement. Toutefois, la réutilisation des mots de passe et la possibilité d’une compromission de l’appareil imposent à l’utilisateur d’évaluer non seulement un compte isolé, mais l’ensemble de ses comptes critiques.

La date de l’incident est enregistrée au 27 janvier 2021, et le nombre d’enregistrements concernés est de 4 324 770. L’opération annoncée par le FBI, Europol et d’autres institutions a permis de prendre le contrôle de l’infrastructure Emotet. Des équipes aux Pays-Bas, en Allemagne et dans d’autres pays ont travaillé au nettoyage des données et à la notification des personnes concernées. Les catégories de données actuelles portent sur les champs d’adresse e-mail et de mot de passe.

Pour décrire son périmètre, cet incident ne doit pas être présenté comme une fuite de données sur le site web d’une entreprise. Emotet était une infrastructure de botnet qui ciblait de nombreux secteurs et pouvait également entraîner l’installation d’autres logiciels malveillants. Ces enregistrements restent classés comme sensibles, car les mots de passe et le contexte lié au logiciel malveillant concernent directement la sécurité des comptes et des appareils.

Les utilisateurs à risque sont les particuliers, les employés d’organisations et les propriétaires de domaines dont les adresses e-mail figurent dans les données Emotet. Les adresses e-mail professionnelles revêtent une importance particulière, car Emotet s’est déjà propagé par des pièces jointes à des courriers indésirables, de fausses factures et le détournement de fils de discussion.

Une correspondance positive ne prouve pas que l’appareil est encore compromis aujourd’hui. Elle indique toutefois que des informations d’identité ont pu être recueillies par un logiciel malveillant dans le passé. Le risque persiste si le même mot de passe a été utilisé sur d’autres comptes. En entreprise, les administrateurs de domaines doivent également procéder à une évaluation.

Les utilisateurs dont l’adresse correspond à une entrée de cette fiche doivent utiliser un mot de passe unique pour chacun de leurs comptes critiques et activer la vérification en deux étapes, en commençant par leur compte de messagerie. Les appareils utilisés doivent être analysés à l’aide d’un logiciel de sécurité à jour, les anciennes sessions suspectes doivent être fermées et les adresses e-mail de récupération doivent être vérifiées.

Les organisations doivent considérer les correspondances positives comme un signal appelant une réponse à incident et procéder, pour les comptes concernés, à la réinitialisation des mots de passe, à la fermeture des sessions et à l’examen des appareils. Il faut renforcer la sensibilisation des utilisateurs aux pièces jointes inattendues, aux fichiers de factures et aux liens.

À long terme, l’utilisation régulière d’un gestionnaire de mots de passe, de mots de passe uniques et de l’authentification à deux facteurs, ainsi que la suppression des informations personnelles inutiles dans les comptes, réduisent le risque. Réutiliser la même adresse e-mail sur différentes plateformes facilite le rapprochement de données issues de différentes fuites. Il peut être utile d’envisager une adresse e-mail distincte ou un alias pour les comptes critiques.

Lorsque des identifiants ont été exposés à cause d’un logiciel malveillant, un simple changement de mot de passe peut ne pas suffire. Il convient de mettre régulièrement à jour les appareils, d’assurer la sécurité des terminaux, de filtrer les e-mails, d’effectuer des sauvegardes et d’appliquer les procédures internes de réponse aux incidents.

La vérification effectuée par LeakData indique si l’adresse e-mail recherchée figure dans cette fiche. Un résultat positif ne signifie pas nécessairement que toutes les données présentes dans les champs appartiennent avec certitude à cet utilisateur. Il constitue néanmoins un avertissement suffisant pour prendre des mesures de précaution. Un résultat négatif indique seulement qu’aucune correspondance n’a été trouvée dans cet ensemble de données et n’exclut pas la possibilité que l’adresse figure dans d’autres fuites.

Un résultat positif constitue une alerte sensible de haute priorité : l’utilisateur doit traiter conjointement la sécurité de ses mots de passe et celle de ses appareils. Un résultat négatif signifie qu’il n’y a aucune correspondance dans cette fiche. Les autres fiches liées à des logiciels malveillants ou à des fuites de mots de passe doivent également être vérifiées séparément.