Fuite de données chez Exvagos

Les types de données confirmés dans cette fiche sont les adresses e-mail, les noms d’utilisateur, les adresses IP, les dates de naissance et les informations relatives aux mots de passe. Lorsqu’une adresse e-mail et un nom d’utilisateur sont associés, il devient plus facile de relier une personne à différents forums, sites de téléchargement, réseaux sociaux ou comptes de messagerie. L’adresse IP ne fournit pas une localisation exacte; elle peut toutefois donner des indices limités sur la région approximative, le fournisseur d’accès ou le contexte d’une ancienne session. La date de naissance apporte des informations personnelles supplémentaires qui peuvent être détournées dans des situations impliquant un mot de passe, un PIN, une question de sécurité ou une authentification.

Le stockage des mots de passe sous forme de hachages MD5 est l’aspect le plus critique de cette fiche. MD5 étant un ancien algorithme dont les calculs sont rapides, les attaquants peuvent tenter de retrouver plus facilement les mots de passe faibles, courts, figurant dans un dictionnaire ou réutilisés sur d’autres comptes. Même si le mot de passe n’est pas écrit en clair, le stockage de son hachage avec une protection insuffisante crée un risque réel. Par conséquent, si le mot de passe du compte Exvagos a été utilisé sur un autre compte, tous les comptes partageant ce mot de passe doivent être considérés comme à risque, et pas seulement le compte Exvagos.

Le nombre de comptes vérifié pour cette fiche est de 2 121 789, et la date de l’incident est indiquée comme étant le 21 juillet 2022. Les données ont ensuite été redistribuées au sein d’un ensemble de données plus vaste; cela ne signifie toutefois pas que le nombre de comptes concernés par la fiche Exvagos est plus élevé. Certains index secondaires peuvent afficher des totaux ou des nombres de comptes uniques différents. Dans les communications publiques, il convient de retenir le chiffre de référence de 2 121 789 et de ne pas présenter les autres chiffres issus de sources secondaires comme un nombre de victimes définitivement vérifié.

Les catégories de données vérifiées se limitent aux dates de naissance, aux adresses e-mail, aux adresses IP, aux mots de passe et aux noms d’utilisateur. Aucun champ supplémentaire ne doit être ajouté à cette fiche au-delà de ces cinq catégories vérifiées. Il ne convient pas non plus de faire des suppositions sur le type de contenu de la plateforme ou sur les habitudes de téléchargement des utilisateurs : cette fiche doit être évaluée uniquement sous l’angle de la sécurité des comptes et des profils. Cette approche permet de montrer le risque réel pour l’utilisateur sans présenter des champs non vérifiés comme des informations certaines.

Les personnes les plus exposées sont celles qui utilisent aussi le mot de passe de leur compte Exvagos sur d’autres services. Si ce même mot de passe a été utilisé pour un compte de messagerie, un réseau social, un service de stockage dans le cloud, d’autres forums, des comptes de jeux ou des sites d’achat, les attaquants peuvent exploiter les anciennes données d’Exvagos pour effectuer des tentatives de connexion automatisées. Si le nom d’utilisateur est lui aussi réutilisé, le risque de rapprochement entre les comptes de différentes plateformes augmente. Ce point est particulièrement important pour les personnes qui utilisent le même pseudonyme et la même adresse e-mail depuis des années.

Les utilisateurs dont la date de naissance et l’adresse IP sont connues peuvent être davantage exposés à des messages d’hameçonnage ciblés. Les attaquants peuvent rédiger des messages évoquant une ancienne inscription au forum, une vérification de compte, une réinitialisation de mot de passe, une restriction d’accès, une pièce jointe ou une annonce de la communauté. L’association d’une adresse e-mail et d’un nom d’utilisateur peut rendre le message plus personnel et plus convaincant. Le risque ne se limite donc pas aux tentatives de craquage des mots de passe : il concerne aussi le suivi de l’identité associée aux comptes sur d’autres services et les fraudes ciblées.

Si vous vous souvenez du mot de passe utilisé pour votre compte Exvagos, modifiez le mot de passe de tous les comptes qui utilisent le même mot de passe ou un mot de passe similaire. Les nouveaux mots de passe doivent être uniques, longs et aléatoires. Le compte de messagerie est à protéger en priorité, car il centralise les liens de réinitialisation des mots de passe. Activez l’authentification multifacteur partout où cela est possible. Réutiliser un ancien mot de passe en le modifiant légèrement ne suffit pas : les attaquants peuvent tester automatiquement les variantes courantes.

Méfiez-vous des messages inattendus de vérification de compte, des liens de téléchargement, des annonces de forum, des autorisations d’accès ou des messages de réinitialisation de mot de passe. Vérifiez le nom de domaine avant de cliquer sur un lien et ne faites pas confiance aux fichiers ou aux liens présents dans les e-mails. N’utilisez pas votre date de naissance comme mot de passe, comme PIN ou comme réponse à une question de sécurité. Si votre adresse IP a été divulguée à partir d’une ancienne session, sachez que cela ne permet pas, à lui seul, de déterminer une localisation précise. Il reste néanmoins utile, pour protéger votre vie privée, de revoir vos paramètres réseau, les informations publiques de votre profil et la visibilité de votre adresse e-mail.

À long terme, utiliser un mot de passe distinct pour chaque compte de forum et de communauté de téléchargement constitue une protection de base. Un gestionnaire de mots de passe facilite à la fois la création de mots de passe uniques et le suivi des anciens comptes. Si vous utilisez le même nom d’utilisateur sur de nombreuses plateformes, vérifiez régulièrement quels comptes sont publics. Lorsque d’anciens profils de forum, des messages archivés et des liens vers des réseaux sociaux sont rapprochés, votre identité numérique peut devenir plus visible que nécessaire.

Du point de vue des plateformes, l’incident Exvagos montre à quel point les méthodes de stockage des mots de passe sont essentielles. Il faut utiliser des méthodes modernes et lentes de hachage des mots de passe utilisant un sel, plutôt que des algorithmes rapides et obsolètes comme MD5. Les données des utilisateurs ne doivent être conservées que le temps nécessaire, les durées de conservation des adresses IP doivent être limitées et les utilisateurs doivent être clairement avertis lorsqu’un changement de mot de passe est requis. Du côté des utilisateurs, la mise à jour régulière des mots de passe, l’authentification multifacteur, le masquage des adresses e-mail et le nettoyage des anciens comptes permettent de réduire durablement les risques.

Si vous avez utilisé Exvagos ou créé un compte sur exvagos.org, vous devez vérifier si votre adresse e-mail est associée à cette fiche. En cas de correspondance, ne considérez pas cet événement comme un simple incident ancien sur un forum : l’association des hachages de mots de passe MD5, de la date de naissance, de l’adresse IP et du nom d’utilisateur peut aussi présenter un risque pour d’autres comptes. La priorité est de repérer tous les comptes utilisant le même mot de passe et de leur attribuer des mots de passe uniques. Vérifiez ensuite les paramètres de connexion et de récupération de votre compte de messagerie et de vos profils de réseaux sociaux les plus utilisés.

Cette fiche décrit la fuite de données d’Exvagos dans son périmètre confirmé : l’incident concerne des données de comptes utilisateurs datées du 21 juillet 2022, le nombre de comptes touchés est de 2 121 789, et les types de données sont les dates de naissance, les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Les actions à entreprendre sont les suivantes : cesser de réutiliser les mots de passe, renforcer la sécurité du compte de messagerie, vérifier les liens entre l’ancien identifiant du forum et d’autres comptes, et rester vigilant face aux messages ciblés.