Fridae Fuite de données

Les principaux types de données dont la présence dans la fuite de Fridae est confirmée sont les adresses e-mail, les mots de passe, les noms d’utilisateur et l’activité sur le site. Une adresse e-mail peut être reliée au compte de messagerie principal d’une personne ou à d’autres profils en ligne. Lorsqu’un nom d’utilisateur est réutilisé sur plusieurs plateformes, il devient possible de relier les profils d’une même personne sur les réseaux sociaux, les forums ou les sites de rencontres. L’activité sur le site apporte des éléments de contexte supplémentaires sur les interactions de l’utilisateur avec la plateforme.

Le stockage des mots de passe en clair constitue l’aspect le plus critique de cet incident. Un mot de passe en clair permet à un attaquant d’essayer les mêmes identifiants sur d’autres services sans avoir à casser le mot de passe. Même si cet ancien mot de passe a été utilisé il y a des années, le risque persiste lorsque l’utilisateur conserve des habitudes similaires. La réutilisation d’un mot de passe peut étendre les conséquences d’une seule fuite aux comptes de messagerie, de réseaux sociaux, de messagerie instantanée ou aux comptes professionnels.

Dans le contexte de la communauté LGBTQ+, le risque ne se limite pas à l’accès aux comptes. Dans certains pays ou milieux sociaux, le fait d’être associé à cette communauté peut porter atteinte à la vie privée, menacer la stabilité de l’emploi ou nuire aux relations familiales. Les données de Fridae doivent donc être considérées comme sensibles, même si elles ne comprennent qu’un petit nombre de catégories de données.

La date confirmée de la fuite de Fridae est le 2 mai 2014, la date d’ajout à la base de données est le 6 mai 2014 et le nombre de comptes uniques concernés est de 35 368. L’incident fait l’objet d’une vérification indépendante et son caractère sensible doit être respecté. Ce classement comme sensible signifie que le lien entre un compte et cette plateforme ne doit pas être affiché de manière à permettre à d’autres personnes de le retrouver par une recherche.

Le périmètre se limite au domaine Fridae et aux catégories de données vérifiées. Les numéros de téléphone, adresses postales, cartes de paiement, comptes bancaires, numéros de pièces d’identité officielles, passeports, messages privés et photos de profil ne font pas partie des catégories vérifiées pour cet incident. La description présentée à l’utilisateur doit expliquer les risques uniquement à partir des adresses e-mail, des mots de passe, des noms d’utilisateur et de l’activité sur le site.

Les sources secondaires peuvent indiquer un nombre inférieur de personnes concernées. Néanmoins, la valeur de 35 368 doit servir de référence pour le nombre de comptes uniques. Les différences entre les sources peuvent s’expliquer par le nombre brut de lignes, la période de vérification ou la présence de données répétées. Le risque présenté à l’utilisateur doit être évalué en tenant compte à la fois du nombre de comptes vérifiés et des catégories de données validées.

Les personnes les plus exposées sont celles qui possédaient un compte Fridae avant 2014 ou à cette époque et qui utilisaient également le même mot de passe sur d’autres services. Si la même adresse e-mail était utilisée sur les réseaux sociaux, des comptes de messagerie, des services de rencontres ou des comptes professionnels, des attaquants peuvent tenter de relier ces comptes entre eux. Si le nom d’utilisateur est lui aussi réutilisé, le risque de rapprochement des identités augmente.

Le risque pour la vie privée est plus élevé pour les personnes qui pourraient subir un préjudice si leur appartenance à la communauté LGBTQ+ devenait visible. Les utilisateurs soumis à des pressions de la part de leur employeur, de leur famille, de leur établissement scolaire, d’institutions publiques ou de leur entourage local doivent se méfier des messages de chantage ou d’humiliation. Les attaquants peuvent utiliser d’anciens mots de passe ou noms d’utilisateur pour rendre leurs menaces plus crédibles.

Le risque lié au contexte social est également important pour les utilisateurs dont les données incluent des informations sur leur activité sur le site. Le niveau d’activité du compte, les types d’espaces fréquentés ou le nom d’utilisateur sous lequel il apparaît peuvent être recoupés avec d’autres jeux de données. L’utilisateur doit donc examiner non seulement les risques liés aux mots de passe, mais aussi l’historique de ses profils visibles et de ses noms d’utilisateur.

L’utilisateur concerné doit d’abord cesser définitivement d’utiliser le mot de passe de son compte Fridae. Si ce mot de passe, ou un mot de passe similaire, est encore valide sur d’autres comptes, il convient de choisir un nouveau mot de passe long et unique pour chacun d’eux. Le compte de messagerie principal, les réseaux sociaux, la messagerie instantanée et les services utilisés pour réinitialiser les mots de passe doivent être protégés en priorité. L’authentification à deux facteurs doit être activée sur les comptes qui le permettent.

Il convient de se méfier des e-mails menaçants faisant référence à Fridae ou à la communauté LGBTQ+. La présence d’un ancien mot de passe, d’un nom d’utilisateur ou du nom de la plateforme dans un message ne signifie pas qu’il faut payer. L’utilisateur doit accéder directement à ses comptes depuis une session de navigateur de confiance, plutôt que de cliquer sur des liens, puis vérifier l’historique des sessions et les adresses e-mail de récupération.

Si le même nom d’utilisateur est employé sur d’autres plateformes, sa visibilité doit être réduite. Les chiffres concernant le nombre de personnes, les champs de données et les affirmations d’acteurs malveillants ne sont pas considérés comme faisant partie du périmètre public de l’incident s’ils n’ont pas été vérifiés. L’utilisation d’un gestionnaire de mots de passe permet de réduire rapidement l’habitude de réutiliser les mêmes mots de passe.

L’incident de Fridae illustre le risque à long terme lié à l’utilisation d’informations liées à l’identité principale sur des comptes communautaires sensibles. Pour des services similaires, il est préférable d’utiliser un alias e-mail distinct, un mot de passe unique et de limiter les informations du profil. Le nom d’utilisateur doit être différent de ceux employés sur les autres profils sociaux. Le nom réel ou l’adresse e-mail professionnelle ne doivent être utilisés que si cela est obligatoire.

La stratégie de protection de la vie privée ne doit pas se limiter à la sécurité des comptes. Les utilisateurs doivent régulièrement examiner les identités qu’ils utilisent sur chaque plateforme, fermer leurs anciens comptes et supprimer les informations de profil inutiles. Les chiffres concernant le nombre de personnes, les champs de données et les affirmations d’acteurs malveillants ne sont pas considérés comme faisant partie du périmètre public de l’incident s’ils n’ont pas été vérifiés.

Pour les équipes de sécurité des entreprises, de tels incidents montrent que les salariés peuvent recevoir des messages d’hameçonnage ciblés ou des messages visant à les contraindre, fondés sur des données de leur vie privée. Les formations doivent expliquer clairement comment réagir aux menaces liées à l’appartenance à une communauté sensible, quels canaux sécurisés utiliser pour les signaler et quels dispositifs de soutien sont disponibles, sans stigmatiser le salarié.

Pour savoir si Fridae a été touché par une fuite de données, l’utilisateur doit vérifier l’adresse e-mail concernée via l’écran de confiance « Sécurité des comptes ». Un résultat positif signifie que l’adresse e-mail figure dans le jeu de données sensible et vérifié associé à Fridae. Cela ne signifie pas nécessairement que l’utilisateur possède encore un compte actif aujourd’hui : le risque peut provenir d’informations de compte datant de 2014 ou d’une période antérieure.

Les utilisateurs qui obtiennent un résultat positif doivent changer leurs mots de passe, sécuriser leur compte de messagerie principal, activer l’authentification à deux facteurs et limiter la réutilisation des noms d’utilisateur. Les anciennes adresses e-mail, les alias et les différents noms d’utilisateur doivent également être vérifiés. Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée pour l’adresse e-mail recherchée; les autres adresses utilisées par le passé doivent tout de même être examinées.

Bien que la fuite de Fridae semble d’une ampleur relativement limitée, elle constitue un incident important pour la vie privée en raison du contexte communautaire sensible. Les mots de passe en clair augmentent le risque pour la sécurité des comptes, tandis que les noms d’utilisateur et l’activité sur le site augmentent le risque de rapprochement des identités. La démarche la plus adaptée consiste à cesser de réutiliser les mots de passe, à dissocier les comptes sensibles de l’identité principale et à effectuer les démarches de sécurisation sans payer ni répondre aux messages de menace.