Gawker Fuite de données

Les types de données vérifiés sont les adresses e-mail, les noms d’utilisateur et les mots de passe. Une adresse e-mail peut servir à envoyer des messages d’hameçonnage ciblés et à établir des correspondances avec d’autres comptes. Un nom d’utilisateur peut faciliter le rapprochement entre des comptes de réseaux sociaux et d’anciens profils de commentaires. Les informations sur les mots de passe ont une incidence directe sur la sécurité des comptes : si le même mot de passe est utilisé sur d’autres services, une seule fuite peut mettre de nombreux comptes en danger.

Le stockage peu sûr des mots de passe et la facilité avec laquelle les mots de passe courts pouvaient être devinés ont aggravé les conséquences concrètes de l’incident. Les mots simples, les suites courtes ou les mots de passe courants pouvaient être retrouvés rapidement. Les attaquants utilisent ce type de jeu de données pour tester des combinaisons d’adresses e-mail et de mots de passe sur d’autres services. Les utilisations abusives observées après l’incident sur certains comptes de réseaux sociaux partageant les mêmes identifiants montrent clairement pourquoi la réutilisation des mots de passe est dangereuse.

La date retenue pour la violation de données est le 11 décembre 2010; la date enregistrée pour sa vérification et son ajout aux bases de données de fuites est le 4 décembre 2013. Le nombre de comptes vérifiés est de 1 247 574. Bien que certains articles de presse mentionnent un nombre plus élevé de comptes de commentaires sur les sites associés au réseau Gawker, c’est ce chiffre vérifié qui est utilisé pour les recherches des utilisateurs. Outre le domaine principal de Gawker, des comptes de commentaires sur certains sites de publication rattachés au réseau ont également été mentionnés dans le contexte de l’incident.

Le périmètre est clairement défini. Les champs de données vérifiés sont l’adresse e-mail, le nom d’utilisateur et les informations sur le mot de passe. Les données de carte de paiement, de compte bancaire, de numéro de pièce d’identité officielle, de numéro de téléphone, d’adresse postale ou de contenu de messages privés ne sont pas considérées comme vérifiées pour cet incident. Bien que les fichiers des systèmes internes et les communications de la rédaction soient traités séparément dans la presse, du point de vue de la sécurité des utilisateurs, il convient de mettre l’accent sur les risques liés aux identifiants de compte et à la réutilisation des mots de passe.

Les personnes les plus exposées sont celles qui utilisaient Gawker ou des comptes de commentaires rattachés au réseau Gawker avant 2010 et qui réutilisaient le même mot de passe sur d’autres sites. Les personnes qui utilisent le même nom d’utilisateur sur les réseaux sociaux, les forums ou leurs comptes de messagerie peuvent être identifiées par recoupement plus facilement. Même si l’ancien compte de média ou de commentaires paraît peu important, le risque augmente si le même mot de passe était également utilisé pour des comptes de messagerie, de réseaux sociaux, d’achat en ligne ou professionnels.

Les personnes qui utilisent des mots de passe simples sont également plus exposées. Les mots courts, les expressions du dictionnaire, les suites de touches du clavier et les schémas faciles à deviner étaient particulièrement vulnérables dans ce cas. Les personnes qui s’inscrivent sur Twitter, des forums, des espaces de commentaires de blogs ou d’autres plateformes sociales avec la même adresse e-mail peuvent être vulnérables aux messages ciblés. Celles qui n’utilisent plus leur ancien compte ne sont pas non plus totalement à l’abri, car le même ancien mot de passe peut encore être actif ailleurs.

La première étape consiste à vous assurer que le mot de passe utilisé à l’époque de Gawker n’est plus actif sur aucun compte. Si vous utilisez le même mot de passe, ou un mot de passe similaire, sur d’autres services, attribuez à chaque compte un mot de passe unique et robuste. Protégez tout particulièrement votre compte de messagerie, car la récupération des autres comptes passe souvent par l’e-mail. Sur les comptes de réseaux sociaux qui utilisaient la même combinaison d’adresse e-mail et de mot de passe que Gawker, vérifiez l’historique des connexions et les notifications de sécurité.

Méfiez-vous des messages concernant Gawker ou d’anciens comptes de commentaires. Ils peuvent prendre la forme de fausses alertes de réinitialisation de mot de passe, de notifications d’anciens commentaires, de messages de vérification de compte ou de notifications de sécurité de réseaux sociaux. Au lieu de cliquer sur le lien, accédez directement au service concerné et consultez l’historique des sessions. Changez les mots de passe des comptes de forums et de réseaux sociaux ouverts avec le même nom d’utilisateur, et fermez les sessions que vous ne reconnaissez pas.

À long terme, la protection fondamentale consiste à utiliser un mot de passe distinct pour chaque compte de commentaires, de média, de forum et de réseau social. Un gestionnaire de mots de passe permet de retrouver facilement les comptes sur lesquels un ancien mot de passe Gawker a été réutilisé et de générer un mot de passe robuste pour chaque compte. Examinez régulièrement vos anciens comptes, fermez les profils inutilisés et maintenez à jour les adresses e-mail de récupération et les notifications de sécurité des comptes actifs.

La leçon est claire pour les plateformes de médias et de commentaires : les mots de passe des utilisateurs doivent être stockés à l’aide de méthodes de hachage robustes, le choix de mots de passe faibles doit être réduit au minimum et les accès suspects aux données doivent être détectés rapidement. Côté utilisateurs, la vérification de la réutilisation des mots de passe, l’authentification à deux facteurs, la surveillance des sessions et la sensibilisation à l’hameçonnage doivent être abordées ensemble. L’incident de Gawker montre que le mot de passe d’un compte de commentaires jugé secondaire peut avoir des répercussions sur la sécurité des comptes de réseaux sociaux et de messagerie.

Si vous obtenez un résultat de correspondance, votre adresse e-mail ou votre nom d’utilisateur peut avoir figuré parmi les 1 247 574 comptes associés à la fuite de données de Gawker. Ce résultat ne signifie pas que vos informations de paiement ou vos messages privés ont été divulgués. Les champs vérifiés sont l’adresse e-mail, le nom d’utilisateur et les informations sur le mot de passe. La première vérification consiste à déterminer si le mot de passe Gawker que vous utilisiez vers 2010 est resté actif sur d’autres comptes.

Si votre ancien mot de passe Gawker a été utilisé sur d’autres services, changez le mot de passe de ces comptes. Vérifiez également votre compte de messagerie, vos réseaux sociaux, vos comptes de forums et vos anciens profils de commentaires. Examinez les notifications de sécurité et l’historique des sessions des comptes créés avec le même nom d’utilisateur. Pour cet incident, la bonne approche ne consiste pas à étendre le périmètre à des champs de données non vérifiés, mais à réduire les risques à long terme pour la sécurité des comptes qui découlent des informations sur les adresses e-mail, les noms d’utilisateur et les anciens mots de passe.