Fur Affinity Fuite de données

Le principal risque décrit dans cette fiche tient à la présence conjointe de l’adresse e-mail, du nom d’utilisateur et des informations de mot de passe haché. Un mot de passe haché n’est pas un mot de passe en clair; toutefois, les mots de passe faibles, courts ou réutilisés peuvent être cassés au fil du temps ou exploités dans des attaques par essais de mots de passe. La réutilisation du même mot de passe sur d’autres comptes fait de cet incident ancien un risque actuel de prise de contrôle de comptes. En particulier, si des mots de passe construits sur le même modèle sont utilisés pour des comptes de messagerie, de réseaux sociaux, de forums et de jeux, des attaquants peuvent combiner ces informations dans différentes tentatives de connexion.

La divulgation conjointe du nom d’utilisateur et de l’adresse e-mail est également importante du point de vue de l’ingénierie sociale. Des attaquants peuvent utiliser les pseudonymes personnels et l’adresse e-mail enregistrée pour créer des messages de réinitialisation de mot de passe plus convaincants, de fausses notifications de la communauté ou des messages d’hameçonnage ciblés. Le fait que la plateforme s’adresse à une communauté de niche peut accroître les risques pour la vie privée de certains utilisateurs, car l’association d’un pseudonyme à une adresse e-mail réelle peut conduire à la révélation de l’identité en ligne d’une personne.

Le nombre d’enregistrements vérifiés doit rester fixé à 1 270 564. Ce nombre correspond au nombre d’enregistrements présents dans le jeu de données; il ne faut pas considérer comme certain que chaque enregistrement correspond à une personne réelle distincte. La présence de plusieurs champs d’adresse e-mail dans certains comptes, la présence séparée d’informations anciennes et nouvelles ou les doublons de comptes peuvent influer sur l’interprétation de ce nombre. Il convient donc de communiquer clairement le nombre d’enregistrements aux utilisateurs, sans présenter comme certain un nombre de personnes qui n’a pas été établi.

Les champs de données vérifiés pour cet incident sont les adresses e-mail, les noms d’utilisateur et les mots de passe. Le champ du mot de passe doit être considéré comme contenant une valeur hachée; en l’absence d’informations vérifiées sur l’algorithme utilisé, il ne faut pas ajouter MD5, SHA-1 ou le nom d’une autre méthode. Les types de données tels que les cartes bancaires, adresses postales, numéros de téléphone, dates de naissance, adresses IP, messages privés, fichiers d’œuvres artistiques, contenus multimédias ou pièces d’identité ne doivent pas être ajoutés à cette fiche. Cette limite permet à la fois de présenter aux utilisateurs le niveau de risque approprié et d’éviter d’exagérer la portée de l’incident.

Le risque est le plus élevé pour les personnes qui réutilisent sur d’autres plateformes l’adresse e-mail, le nom d’utilisateur ou le mot de passe de leur compte Fur Affinity. L’utilisation du même pseudonyme sur d’autres comptes de réseaux sociaux peut permettre de relier des identités utilisées dans différentes communautés. Ce point est particulièrement important pour les utilisateurs qui souhaitent préserver la séparation de leurs espaces personnels. La divulgation de l’adresse e-mail facilite également le ciblage des notifications et des alertes de sécurité liées au compte.

Les comptes inactifs depuis longtemps sont eux aussi concernés par le risque. Même lorsqu’un ancien compte a été oublié, le même mot de passe peut toujours être utilisé sur d’autres services. De plus, les pseudonymes employés sur d’anciens comptes communautaires peuvent servir à des recherches, à des rapprochements de profils ou à des tentatives d’hameçonnage, même des années plus tard. Il est donc recommandé non seulement aux utilisateurs actifs, mais aussi aux personnes qui ont créé un compte par le passé et n’utilisent plus la plateforme, de vérifier la réutilisation de leurs mots de passe et la sécurité de leur messagerie.

Si votre adresse e-mail est concernée par cette fiche, assurez-vous d’abord que l’ancien mot de passe de votre compte Fur Affinity n’est plus utilisé sur aucun autre compte. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, ailleurs, remplacez-le immédiatement sur ces comptes par un mot de passe long et unique. Un gestionnaire de mots de passe facilite la création d’un mot de passe distinct pour chaque service et l’abandon complet des anciens modèles de mots de passe. De petites modifications de caractères, l’ajout d’une année ou la conservation de la même base ne suffisent pas à vous protéger.

Activez l’authentification multifacteur sur les comptes essentiels, en particulier sur votre compte de messagerie. Si l’historique d’activité du compte fait apparaître un appareil que vous ne reconnaissez pas, une notification de connexion inattendue, une demande de réinitialisation du mot de passe ou un e-mail de sécurité suspect, fermez toutes les sessions et mettez à jour les informations de récupération. Si l’adresse e-mail associée au compte communautaire n’est plus utilisée, mettez à jour les informations du compte si possible, ou réduisez les informations personnelles inutiles renseignées dans le profil. Face à un message suspect, examinez attentivement l’adresse de l’expéditeur et la page de connexion avant de cliquer sur un lien.

Cet incident montre que les comptes utilisés sur les plateformes communautaires et artistiques nécessitent eux aussi un niveau de sécurité élevé. Évitez de réutiliser vos mots de passe entre vos comptes de loisirs, de forums, de jeux, de réseaux sociaux et de messagerie. Une fuite touchant un compte qui semble peu important peut avoir des conséquences sur des comptes plus sensibles si la même adresse e-mail et le même mot de passe sont valides sur un autre service. Il convient donc de passer régulièrement en revue vos anciens comptes sur différentes plateformes, de fermer ceux que vous n’utilisez plus ou de les isoler en leur attribuant un mot de passe unique et une protection multifacteur.

Du côté de la plateforme, le stockage sécurisé des mots de passe, les tests de sécurité réguliers, la surveillance des journaux d’accès et les procédures de signalement des incidents sont des exigences fondamentales. Les notifications adressées aux utilisateurs doivent préciser clairement les champs concernés, ceux dont l’exposition n’est pas vérifiée et les mesures à prendre. Par ailleurs, sur les services où l’identité communautaire joue un rôle important, les conséquences pour la vie privée peuvent être plus importantes que celles d’une simple fuite d’adresses e-mail; la divulgation conjointe du nom d’utilisateur et de l’adresse e-mail doit donc faire l’objet d’une évaluation spécifique.

Lors de la vérification des données liées à la fuite de Fur Affinity, le résultat indique si l’adresse e-mail saisie figure dans ce jeu de données. Si le résultat est positif, l’adresse e-mail, le nom d’utilisateur et les informations de mot de passe haché doivent être considérés comme exposés à un risque. Si le résultat est négatif, cela signifie qu’aucune correspondance n’a été trouvée dans ce jeu de données précis; cela ne signifie pas que la personne n’apparaît pas dans d’autres fuites. Le résultat doit donc être interprété uniquement dans le contexte de cet incident.

Les mesures appropriées consistent à abandonner complètement l’ancien mot de passe, à le remplacer partout où il a été réutilisé, à activer une protection multifacteur pour le compte de messagerie et à passer en revue les autres comptes créés avec le même nom d’utilisateur. L’association d’un pseudonyme et d’une adresse e-mail sur des comptes communautaires peut rester exploitable pendant longtemps. Ne négligez pas un ancien enregistrement lorsque vous le découvrez : si vous utilisez encore aujourd’hui des mots de passe, des adresses e-mail ou des pseudonymes qui permettent de relier vos comptes, mettez immédiatement à jour vos mesures de sécurité.