Fuite de données Fotolog et vérification des adresses e-mail

Le jeu de données vérifié contenait des adresses e-mail, des noms d’utilisateur et des empreintes de mots de passe SHA-256 sans sel. Une analyse technique réalisée à l’époque sur les cinq bases de données Fotolog proposées à la vente signalait également des noms complets, des localisations géographiques, des centres d’intérêt et d’autres informations de profil, ainsi que des questions de sécurité et leurs réponses. Les 16 717 854 adresses signalées par source publique sur la fuite de données correspondent au périmètre de l’incident rapporté par cette source externe; LeakData dispose de 16 231 463 associations d’adresses e-mail consultables et étayées par le fichier source. Ce chiffre ne permet pas d’établir que chaque ligne correspondait à une personne différente ni que tous les champs supplémentaires étaient présents pour chaque compte. Le rapprochement d’une adresse e-mail, d’un nom d’utilisateur, d’un nom et d’informations de profil peut faciliter le phishing ciblé et le recoupement avec des comptes sur d’autres plateformes. La réutilisation de réponses aux questions de sécurité peut fragiliser les procédures de réinitialisation des mots de passe sur d’autres services. Les empreintes de mots de passe ne sont pas des mots de passe en clair, mais une méthode de hachage rapide et sans sel résiste mal aux tentatives de deviner les mots de passe hors ligne, surtout lorsqu’ils sont courts, courants ou déjà exposés.

Les données des comptes Fotolog auraient été dérobées en décembre 2018, puis proposées en février 2019 sous la forme d’un lot distinct sur une place de marché criminelle, aux côtés de bases de données attribuées à de nombreuses autres organisations. Le lot Fotolog était présenté comme un ensemble de cinq bases de données totalisant environ 5,9 Go et plus de 16 millions d’enregistrements de comptes. Bien que le vendeur ait affirmé avoir exploité des failles d’applications web sur différents sites, les éléments publics ne permettaient pas d’établir le point d’entrée précis, le système touché ou la chaîne d’attaque dans le cas de Fotolog; l’exécution de code à distance ne doit donc pas être présentée comme la cause initiale confirmée. Source publique sur la fuite de données fait état d’un périmètre de 16 717 854 adresses e-mail uniques; ce chiffre ne correspond pas au nombre d’associations étayées par le fichier source dont dispose LeakData. Il s’agissait d’une base de données distincte, directement attribuée à la structure des comptes Fotolog, et non d’une collection générique d’identifiants de connexion. Le service a été fermé en 2019 et son domaine a ensuite été réaffecté à un autre usage; l’absence de portail Fotolog permettant aujourd’hui d’accéder aux comptes ne supprime pas le risque lié aux données historiques.

Les personnes les plus exposées sont celles qui ont réutilisé leur mot de passe Fotolog de 2018 pour leur messagerie, un réseau social, un service de photos ou un autre compte. Les empreintes de mots de passe SHA-256 sans sel sont identiques lorsque les mots de passe le sont, et permettent aux attaquants de tester à grande vitesse des listes de mots de passe courants. Une empreinte ne révèle pas directement le mot de passe correspondant, et les mots de passe longs et uniques restent plus difficiles à retrouver. Les mots de passe courts, fondés sur des mots du dictionnaire ou déjà divulgués lors d’une fuite sont nettement plus faciles à deviner. Les personnes qui ont réutilisé une réponse à une question de sécurité sur un autre service sont également exposées à des attaques visant la réinitialisation du mot de passe ou la récupération du compte. En combinant un nom complet, une localisation, des centres d’intérêt, un nom d’utilisateur et une adresse e-mail, les criminels peuvent rédiger des messages faisant référence à une ancienne photographie ou à une communauté fréquentée.

Si vous vous souvenez de votre ancien mot de passe Fotolog, repérez tous les comptes qui utilisent encore ce mot de passe ou une variante proche et remplacez-le sur chacun d’eux par un mot de passe long et unique. Donnez la priorité à votre messagerie principale, à vos réseaux sociaux, au stockage de vos photos dans le cloud et aux services qui conservent vos moyens de paiement. Si vous avez réutilisé une réponse à une question de sécurité de Fotolog, changez-la partout où cela est possible; choisissez une réponse aléatoire et imprévisible, enregistrée dans un gestionnaire de mots de passe, plutôt qu’un fait réel de votre vie. Vérifiez les sessions de messagerie, les adresses de récupération et les règles de transfert que vous ne reconnaissez pas, puis activez l’authentification multifacteur. Méfiez-vous des messages qui prétendent restaurer d’anciennes photos Fotolog, rouvrir un compte, régler des réclamations pour atteinte aux droits d’auteur ou vérifier un profil; les criminels peuvent utiliser le nom de l’ancienne marque et un véritable nom d’utilisateur. Le service d’origine n’étant plus en activité, considérez avec une méfiance particulière tout message proposant un lien de réinitialisation de compte Fotolog.

Utilisez un gestionnaire de mots de passe pour générer un mot de passe aléatoire et unique pour chaque service, afin que la découverte du mot de passe correspondant à une empreinte ne mette pas en danger d’autres comptes. Gardez l’authentification multifacteur activée sur votre messagerie et vos services essentiels, en privilégiant les clés de sécurité résistantes au phishing ou les méthodes reposant sur un appareil lorsqu’elles sont disponibles. Cessez définitivement d’utiliser l’ancien mot de passe Fotolog et les réponses à ses questions de sécurité ; les réutiliser en modifiant légèrement leur orthographe n’offre pas de protection significative. Gardez à l’esprit que les localisations, les centres d’intérêt et les anciens noms d’utilisateur visibles sur les profils sociaux peuvent servir à personnaliser des messages de phishing, et limitez leur visibilité lorsqu’elle n’est pas nécessaire. Continuez à vérifier si vos anciennes adresses e-mail apparaissent dans des fuites et contrôlez les alertes inattendues de réinitialisation de mot de passe par un canal indépendant. Les données d’un service fermé peuvent circuler indéfiniment : une stratégie de sécurité durable doit donc couvrir les identifiants de connexion et les informations d’identité utilisés il y a des années, pas seulement les comptes actuels.

Utilisez le champ de recherche sécurisé de cette page pour vérifier toutes les adresses e-mail actuelles et anciennes que vous avez pu utiliser avec Fotolog. Une correspondance signifie que l’adresse figure parmi les 16 231 463 associations d’adresses e-mail consultables sur LeakData et validées à partir du fichier source; elle ne prouve pas que le mot de passe a été retrouvé, qu’un autre compte a été consulté sans autorisation ou que tous les champs du profil existaient pour cette personne. Si vous obtenez un résultat, examinez les autres comptes qui utilisaient le mot de passe ou les réponses de sécurité de l’époque de 2018, remplacez-les partout où ils sont encore réutilisés et vérifiez la sécurité de votre messagerie. L’absence de résultat ne constitue pas une garantie absolue : une adresse peut avoir été écrite différemment, un enregistrement peut manquer dans le jeu de données ou une autre fuite peut tout de même vous concerner. Saisissez uniquement le type d’identifiant accepté dans le champ de recherche; ne fournissez jamais de mot de passe, d’empreinte de mot de passe, de réponse à une question de sécurité, de code à usage unique ou d’informations de paiement. Vérifier à nouveau vos anciennes adresses de temps à autre peut révéler leur présence dans des jeux de données vérifiés des années après un incident. Si vous recevez un avertissement inattendu, n’utilisez pas le lien qu’il contient et accédez directement au service concerné par une voie indépendante.