Fuite de données chez Gab

Les nombres de personnes concernées, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident. Les noms et les avatars facilitent également la reconnaissance d’un même profil. Même si ces champs ne suffisent pas à eux seuls pour commettre une fraude financière, ils fournissent des éléments de contexte importants pour l’hameçonnage ciblé, les fausses notifications de sécurité, les atteintes à la réputation et les tentatives de prise de contrôle de comptes. Les noms d’utilisateur employés sur les réseaux sociaux sont souvent conservés longtemps; même une ancienne fuite de données peut donc être utile pour établir des correspondances avec des profils actuels.

Le stockage du champ de mot de passe sous forme de hachage bcrypt offre une protection plus solide que le stockage des mots de passe en clair. Néanmoins, les mots de passe faibles, courts ou réutilisés restent risqués. Si le même mot de passe est utilisé sur d’autres comptes, les attaquants peuvent associer d’anciennes données divulguées à de nouvelles tentatives de connexion. Le contenu des messages ne doit pas être considéré comme vérifié pour chaque utilisateur, mais les utilisateurs pour lesquels une correspondance a été trouvée ne doivent pas négliger le risque lié aux communications confidentielles.

Le nombre de correspondances uniques vérifiées par adresse e-mail pour cette fiche doit rester fixé à 66 521. Le fait que la vaste archive contienne des millions de comptes et des contenus accessibles au public constitue un élément de contexte distinct; ce volume ne doit pas être présenté directement comme le nombre de personnes pouvant être recherchées par adresse e-mail. Le nombre d’enregistrements correspond à des correspondances uniques associées à une adresse e-mail. Une même personne peut posséder plusieurs comptes, et certains comptes peuvent ne comporter aucun champ d’adresse e-mail ni de mot de passe.

Les catégories de données vérifiées sont les avatars, les adresses e-mail, les noms, les mots de passe, les messages privés et les noms d’utilisateur. Les numéros de téléphone, les adresses postales, les cartes de paiement, les numéros de pièces d’identité officielles, les dates de naissance et les données bancaires ne doivent pas être ajoutés à cette liste. Le champ relatif aux messages privés doit également être compris comme indiquant la présence d’un nombre limité d’enregistrements de conversations dans l’archive; il ne faut pas supposer que des messages privés ont été divulgués pour chaque enregistrement. Cette limite permet de présenter clairement à l’utilisateur à la fois le risque réel et les éléments qui restent incertains.

Le risque le plus élevé concerne les utilisateurs qui réutilisent l’adresse e-mail, le nom d’utilisateur ou le mot de passe de leur compte Gab sur d’autres réseaux sociaux, forums, comptes de messagerie ou comptes de publication. Conserver le même nom d’utilisateur sur différentes plateformes facilite le rapprochement des profils. En combinant le nom, l’avatar et le nom d’utilisateur du compte sur le réseau social, les attaquants peuvent élaborer de fausses notifications et des tentatives de réinitialisation de mot de passe plus convaincantes.

Les utilisateurs qui évitent de s’exposer publiquement en raison de leurs échanges privés ou du contexte de leurs contenus sur les réseaux sociaux sont également à risque. Même si un compte est ancien, inactif ou abandonné, le nom d’utilisateur et l’adresse e-mail précédemment utilisés peuvent encore être analysés pour établir des liens avec d’autres comptes. Les personnes dont la situation est sensible sur le plan professionnel, familial, communautaire ou médiatique doivent tenir compte non seulement de la sécurité des mots de passe, mais aussi du risque de rapprochement des profils et de communications frauduleuses.

Les utilisateurs dont l’adresse e-mail était présente dans cette fuite doivent s’assurer que le mot de passe utilisé sur leur compte Gab n’est valable sur aucun autre compte. Si le même mot de passe, ou un mot de passe similaire, a été utilisé sur différents comptes, tous les comptes concernés doivent être dotés d’un mot de passe long, unique et difficile à deviner. L’utilisation d’un gestionnaire de mots de passe rend cette démarche plus fiable. Lors d’un changement de mot de passe, le simple ajout d’une année, d’un symbole ou d’une lettre minuscule à la fin ne doit pas être considéré comme suffisant.

L’authentification à deux facteurs doit être activée sur les comptes de messagerie et les comptes de réseaux sociaux. Si l’historique d’activité d’un compte contient des appareils inconnus, des sessions inattendues, des notifications de réinitialisation de mot de passe ou des messages de sécurité suspects, il convient de fermer les sessions et de vérifier les options de récupération par e-mail et par téléphone. En cas de chantage, de menaces ou de messages trompeurs liés au contenu de messages privés ou aux informations du profil, les utilisateurs doivent vérifier l’authenticité du message par un moyen indépendant avant de cliquer sur un lien.

Une stratégie de sécurité à long terme pour les comptes de réseaux sociaux ne doit pas se limiter au changement des mots de passe. Lorsque les noms d’utilisateur, les photos de profil et les adresses e-mail restent identiques sur différentes plateformes, les comptes peuvent facilement être rapprochés. Les utilisateurs qui souhaitent préserver leur vie privée devraient privilégier des adresses e-mail distinctes et des schémas de noms d’utilisateur différents selon les services. Les comptes inutilisés devraient être fermés. Pour ceux qui ne peuvent pas l’être, les informations personnelles du profil devraient être réduites au minimum et des mots de passe uniques devraient être utilisés.

Lorsque des messages privés, des informations de profil et des hachages de mots de passe sont exposés lors d’un même incident chez le fournisseur du service, la réponse à l’incident doit être menée avec davantage de précautions. Le stockage sécurisé des mots de passe, le contrôle des accès, la segmentation des données, les tests de sécurité réguliers et les procédures de notification aux utilisateurs constituent des exigences de base. Dans les notifications, le nombre d’enregistrements vérifiés contenant une adresse e-mail ou un mot de passe doit être expliqué séparément du périmètre global de l’archive. Cette distinction permet aux utilisateurs de prendre des décisions appropriées sans paniquer ni sous-estimer le risque.

Lors de la vérification des enregistrements visant à repérer des violations des règles, le résultat indique si l’adresse e-mail saisie figure dans cet ensemble de données vérifié. Si le résultat est positif, il convient d’évaluer conjointement l’adresse e-mail, le nom d’utilisateur, le nom, l’avatar, le hachage du mot de passe et le risque limité lié aux messages privés. Si le résultat est négatif, cela signifie qu’aucun enregistrement n’a été trouvé dans cet ensemble précis de correspondances par adresse e-mail; cela ne prouve pas que la personne ne figure pas sous un autre nom d’utilisateur dans l’archive plus large ou dans un autre incident.

La bonne démarche consiste à abandonner définitivement les anciens mots de passe, à remplacer tous les mots de passe réutilisés, à activer une protection multifacteur sur les comptes de messagerie et les réseaux sociaux, à examiner les noms d’utilisateur réutilisés susceptibles de permettre des rapprochements entre profils et à se méfier des messages suspects. Même une ancienne fuite peut créer un risque actuel lorsque l’identité sur un réseau social, l’adresse e-mail et les informations de mot de passe se retrouvent réunies.