Fuite de données chez Epik

Le jeu de données vérifié contenait des adresses e-mail, des noms, des numéros de téléphone, des adresses postales, des informations sur les achats et des mots de passe stockés dans différents formats. L’expression « différents formats » ne signifie pas que tous les mots de passe bénéficiaient de la même protection ni qu’ils étaient tous stockés en clair; l’utilisation d’un même algorithme pour l’ensemble des enregistrements n’a pas été vérifiée. L’archive ne se limitait pas aux clients d’Epik. Les systèmes d’Epik conservant des enregistrements WHOIS, les coordonnées de titulaires de domaines qui n’avaient jamais effectué de transaction directement avec l’entreprise y figuraient également. Des variantes d’adresses e-mail masquées utilisées pour protéger la confidentialité des titulaires de domaines pouvaient être incluses dans le décompte. La présence d’une adresse dans les données de cet incident ne prouve donc pas que son titulaire était client d’Epik. Le rapprochement d’une adresse e-mail, d’un nom, d’un numéro de téléphone, d’une adresse postale et d’informations sur les achats peut faciliter l’hameçonnage ciblé, les appels de faux services d’assistance et les abus des procédures de récupération de compte.

La date de référence de l’incident est le 13 septembre 2021. Un accès non autorisé a conduit à l’extraction d’une vaste archive appartenant à Epik, bureau d’enregistrement de noms de domaine et fournisseur d’hébergement web. Selon les informations rapportées, l’ensemble de données rendu public représentait environ 180 GB, et l’entreprise a ensuite confirmé une intrusion non autorisée dans ses systèmes. La taille de l’archive ne mesure pas le nombre de personnes touchées : le décompte repose sur 15 003 961 adresses e-mail uniques. La présence de données de comptes clients aux côtés d’enregistrements WHOIS conservés explique pourquoi le périmètre ne peut pas être limité aux clients actifs. Certaines entrées WHOIS pouvaient contenir des informations sur d’anciens titulaires, ce qui empêche de déduire directement d’une correspondance avec une adresse e-mail que la personne détient aujourd’hui le domaine. Le mode d’accès initial, la durée exacte de présence des intrus dans les systèmes et le format de protection utilisé pour chaque mot de passe n’ont pas été documentés de manière concluante pour l’ensemble des comptes; il ne faut donc pas faire de suppositions sur ces détails.

Le groupe le plus directement exposé comprend les clients, les anciens clients, les administrateurs de domaines et les utilisateurs des services d’hébergement qui disposaient d’un compte Epik en septembre 2021 ou auparavant. Un deuxième groupe se compose de titulaires de domaines et de personnes désignées comme contacts d’organisations, dont les informations figuraient dans les enregistrements WHOIS conservés malgré l’absence de relation contractuelle avec Epik. Les personnes utilisant des services d’enregistrement avec protection de la confidentialité ou par procuration peuvent également apparaître par l’intermédiaire d’adresses masquées, d’adresses de transfert ou d’enregistrements historiques. Pour les salariés qui gèrent les domaines d’une entreprise, le risque dépasse le cadre du compte personnel : des criminels peuvent combiner un nom, un numéro de téléphone, une adresse et des informations sur les achats pour formuler des demandes crédibles de transfert de domaine, de modification DNS ou de règlement de fausses factures. Le fait que les données d’une personne figurent dans cet incident ne prouve donc pas qu’elle utilise actuellement Epik, mais peut néanmoins rendre une fraude ciblée plus crédible.

Si vous avez un compte Epik, rendez-vous directement sur le site officiel et changez son mot de passe; remplacez ensuite tout mot de passe identique ou similaire sur vos autres comptes. La réutilisation des mots de passe peut permettre d’exploiter une ancienne fuite pour mener, des années plus tard, des tentatives de connexion automatisées à des services de messagerie, de stockage dans le cloud, de réseaux sociaux ou à des services financiers. Créez un mot de passe long et unique pour chaque service, utilisez un gestionnaire de mots de passe et activez l’authentification multifacteur sur les comptes qui la proposent. Les titulaires de domaines devraient vérifier l’état du verrouillage auprès du bureau d’enregistrement, l’autorisation de transfert, les informations de récupération, les serveurs de noms et les enregistrements DNS. Connectez-vous en accédant vous-même au service avant d’approuver une demande inattendue de réinitialisation, de transfert de domaine ou de modification des coordonnées de contact. Les informations sur les achats font partie des catégories de données dont l’exposition est documentée, mais l’exposition de données de cartes de paiement n’a pas été vérifiée; vérifiez tout de même les débits inattendus et les factures de renouvellement frauduleuses. Ne suivez pas les liens contenus dans les messages annonçant une suspension et ne communiquez jamais de code à usage unique.

Une protection durable passe par un inventaire des comptes et des domaines, et non par un simple changement ponctuel de mot de passe. Généralisez l’utilisation de mots de passe uniques pour les comptes personnels et ceux de votre organisation, privilégiez l’authentification multifacteur reposant sur une application ou une clé de sécurité matérielle, et vérifiez les moyens de récupération à intervalles réguliers. Pour les domaines critiques, utilisez le verrouillage au niveau du registre, des procédures d’approbation des modifications ou des procédures impliquant plusieurs administrateurs lorsque ces options sont disponibles. Les alertes concernant les modifications DNS, les changements de serveurs de noms, de coordonnées du titulaire ou liés au renouvellement peuvent révéler rapidement une tentative de détournement de domaine. La protection de la confidentialité WHOIS peut réduire la visibilité publique, mais elle ne permet pas de retirer les enregistrements collectés par le passé. Considérez donc les anciennes adresses et les anciens numéros de téléphone comme potentiellement utiles à un fraudeur. Les organisations devraient utiliser des boîtes mail fonctionnelles pour l’administration des domaines, limiter les accès aux besoins de chaque poste et les supprimer rapidement lors du départ d’un membre du personnel. La surveillance continue des fuites de données et l’examen des journaux de modification réduisent la dépendance à une seule mesure de protection.

Lorsque vous vérifiez sur LeakData si votre adresse e-mail est associée à l’incident Epik, interprétez le résultat dans son contexte. Une correspondance signifie que l’adresse figure dans le jeu de données vérifié; elle ne prouve pas que la personne a acheté un service Epik, qu’elle est encore cliente ou qu’elle détient actuellement un domaine associé. Si vous obtenez une correspondance, recensez les comptes créés avec cette adresse : comptes Epik, comptes auprès de bureaux d’enregistrement, comptes d’hébergement et comptes d’administration. Vérifiez ensuite l’unicité des mots de passe, l’authentification multifacteur, les informations de récupération et les verrouillages des domaines. L’absence de correspondance n’est pas une garantie absolue, car le jeu de données peut être incomplet, une autre adresse peut avoir été utilisée ou de nouvelles informations peuvent apparaître. Maintenez les alertes d’activité des comptes et poursuivez les vérifications périodiques. Pour les messages faisant référence à cet incident, examinez le domaine de l’expéditeur et l’adresse de destination du lien plutôt que de vous fier au nom affiché, et vérifiez les demandes suspectes via un canal officiel d’assistance auquel vous avez accédé indépendamment du message.