Fuite de données chez EyeEm

Les catégories de données dont l’exposition a été vérifiée sont les adresses e-mail, les noms, les noms d’utilisateur, les biographies des profils et les hachages de mots de passe. L’archive proposée à la vente était présentée comme contenant 22 360 765 lignes correspondant à des comptes, mais environ trois millions d’entre elles auraient été dépourvues d’adresse e-mail. La mesure fiable de l’impact est donc celle des 19 611 022 adresses e-mail uniques identifiées après déduplication; ces deux chiffres ne doivent ni être additionnés ni être présentés comme une même mesure. Il ne faut pas supposer que chaque ligne contient les cinq champs. Un nom, un nom d’utilisateur et une biographie peuvent permettre de relier une personne à ses photographies et rendre des tentatives d’hameçonnage ciblées plus convaincantes. Les adresses e-mail facilitent l’identification de comptes, tandis que les hachages de mots de passe peuvent servir à tester des mots de passe hors ligne et à tenter d’accéder à des services sur lesquels les mêmes identifiants ont été réutilisés. Les informations de carte bancaire et de compte bancaire ne figurent pas parmi les catégories vérifiées : cet incident ne doit donc pas être présenté comme une exposition de données financières.

Selon les informations rapportées, des données de comptes ont été dérobées sur les serveurs d’EyeEm en février 2018, puis proposées à la vente avec d’autres grands jeux de données. L’incident a été rendu public le 11 février 2019; EyeEm a informé ses clients le lendemain et imposé la réinitialisation des mots de passe des comptes. La date du 28 février indiquée dans cette fiche renvoie à un événement dont on sait seulement qu’il s’est produit au cours de ce mois; elle ne constitue pas une preuve du jour exact de l’intrusion. Les mots de passe figurant dans les lignes examinées ont été décrits comme des hachages SHA-1. Les éléments fiables disponibles ne permettent pas d’établir si EyeEm utilisait un sel propre à chaque mot de passe : les qualifier de « salés » ou de « non salés » serait donc spéculatif. Le résultat d’un hachage SHA-1 n’est pas un mot de passe en clair, mais des mots de passe faibles peuvent être retrouvés par des essais hors ligne. La méthode d’accès initial n’a pas été établie publiquement; il ne faut donc pas attribuer l’incident à une faille particulière, à un tiers ou à l’action d’un employé sans éléments probants.

Le principal groupe à risque comprend les personnes qui ont créé un compte EyeEm avant février 2018, se sont inscrites avec une adresse e-mail ou ont renseigné un nom réel, un nom d’utilisateur et une biographie sur leur profil. Les photographes, les créateurs visuels et les professionnels des licences d’utilisation peuvent recevoir des offres frauduleuses convaincantes, car les noms, les pseudonymes et les profils créatifs peuvent être recoupés. Même un ancien compte peut encore présenter un risque : son adresse e-mail peut permettre d’identifier des comptes sur d’autres services, la structure d’un ancien mot de passe peut aider à deviner des choix plus récents et les détails du profil peuvent servir à rendre des messages crédibles. Les usages malveillants ne se limitent pas à la prise de contrôle d’un compte : ils peuvent prendre la forme de fausses notifications relatives aux droits d’auteur, de demandes concernant des licences, de demandes de paiement, d’invitations à vérifier un portfolio ou de réinitialisations de mots de passe visant à obtenir de nouvelles informations. La présence dans le jeu de données ne prouve pas que chaque compte a fait l’objet d’un usage malveillant ni que chaque hachage a permis de retrouver un mot de passe. L’exposition des données, la récupération de mots de passe et la compromission avérée de comptes sont des situations distinctes.

La réinitialisation imposée par EyeEm en 2019 a rendu l’ancien mot de passe inutilisable sur cette plateforme, mais le risque subsiste partout où le même mot de passe, ou un mot de passe similaire, a été réutilisé. Identifiez ces comptes et remplacez chaque mot de passe réutilisé par un mot de passe robuste et unique ; un gestionnaire de mots de passe facilite cette démarche dans la durée. Activez l’authentification multifacteur sur les services importants, en commençant par votre messagerie, et examinez les informations de récupération et les sessions actives pour repérer les changements que vous ne reconnaissez pas. Abordez avec prudence les notifications d’EyeEm, les propositions de licences d’utilisation de photos, les réclamations relatives aux droits d’auteur et les offres concernant votre portfolio, en vérifiant le véritable nom de domaine de l’expéditeur et la destination des liens. N’ouvrez pas les pièces jointes inattendues; connectez-vous en saisissant l’adresse du service plutôt qu’en suivant un lien dans un message. Supprimez les règles de transfert de messagerie, les mots de passe d’application ou les méthodes de récupération que vous ne reconnaissez pas, fermez les sessions inconnues et examinez l’activité récente liée à la sécurité.

L’ancienneté de cet incident ne rend pas les données d’identité exposées inutiles. Les adresses e-mail et les informations des profils peuvent rester exactes pendant des années, et d’anciens jeux de données peuvent être croisés avec des ensembles plus récents pour établir des profils de ciblage. Générez un mot de passe différent pour chaque service, activez les alertes de fuite de données et de mots de passe faibles dans votre gestionnaire de mots de passe, et privilégiez une application d’authentification ou une clé matérielle pour l’authentification multifacteur. Des alias de messagerie distincts peuvent vous aider à savoir où une adresse a été communiquée et à reconnaître plus facilement les messages suspects. Limiter les biographies aux informations nécessaires réduit également le risque d’ingénierie sociale; évitez de publier une adresse personnelle, un numéro de téléphone, une date de naissance ou un lieu que vous fréquentez régulièrement sans raison précise. Examinez régulièrement les sessions actives, les applications connectées et les paramètres de récupération, et fermez les comptes que vous n’utilisez plus. Vérifiez les alertes dans l’application officielle ou en saisissant directement une adresse, plutôt qu’en suivant un lien dans le message.

Une correspondance pour une adresse e-mail signifie que celle-ci figurait dans le jeu de données d’EyeEm de février 2018. Cela ne prouve pas que le compte est toujours ouvert, qu’un mot de passe est visible en clair ou qu’un tiers a pris le contrôle du compte. Distinguez la période de la fuite de sa divulgation en février 2019 et demandez-vous si l’ancien mot de passe a été réutilisé ailleurs. En cas de correspondance, sécurisez d’abord votre messagerie, puis les comptes susceptibles d’avoir utilisé le même mot de passe ou un mot de passe similaire. L’absence de correspondance ne constitue pas une garantie absolue de sécurité : vous avez peut-être utilisé une autre adresse lors de votre inscription, certaines lignes ne comportaient pas d’adresse e-mail, ou un autre incident n’a peut-être pas encore été vérifié. Associez des vérifications périodiques aux alertes de votre gestionnaire de mots de passe, à l’authentification multifacteur et à l’examen de l’activité des comptes. Face à un message suspect, examinez ensemble le véritable nom de domaine de l’expéditeur, la destination des liens, le caractère urgent du message et les demandes de mot de passe ou de paiement. Ainsi, une vérification liée à l’incident historique d’EyeEm s’inscrit dans une pratique de sécurité continue.