HackBase Exposition présumée de données

Les champs de données étayés sont les adresses e-mail, les noms d’utilisateur, les mots de passe et les informations sur le type de hachage des mots de passe. Si le stockage des mots de passe sous forme de hachages présente un risque moins direct que leur stockage en clair, des mots de passe faibles, des algorithmes obsolètes ou l’absence de salage peuvent permettre aux attaquants de retrouver les mots de passe à partir de ces valeurs par des tentatives hors ligne. Le contexte d’un forum consacré au piratage et à la sécurité accroît le risque, car les adresses e-mail utilisées dans ces communautés peuvent être associées à des outils techniques, à des profils de forum, à des pseudonymes et à d’autres plateformes de sécurité. La divulgation conjointe du nom d’utilisateur et de l’adresse e-mail constitue un ensemble de données précieux pour recouper les traces d’une personne sur différents forums et mener des tentatives ciblées d’ingénierie sociale.

La présence d’autres types d’informations personnelles, comme un numéro de téléphone, un nom réel, des données de paiement, une adresse postale ou un document d’identité, n’était pas étayée dans le périmètre principal de cet incident. L’adresse IP et les informations sur le forum apparaissant dans le second répertoire, ces éléments ont été conservés dans la note d’examen interne, mais n’ont pas été ajoutés aux champs de données publics principaux. Cette distinction est importante pour ne pas induire l’utilisateur en erreur. Toutefois, la présence conjointe de l’adresse e-mail, du nom d’utilisateur et des hachages de mots de passe maintient le risque de prise de contrôle de comptes si le même mot de passe est réutilisé sur d’anciens forums techniques, dans des outils de développement, des communautés de joueurs, des comptes de messagerie ou des services professionnels.

Le périmètre principal comprend 10 625 comptes. La date retenue pour l’incident est octobre 2011, et la date d’ajout à l’index est le 25 juillet 2022. Lors de l’évaluation du périmètre, le nom de domaine, l’identifiant du forum, le nombre d’enregistrements, les informations sur le type de hachage et les champs d’adresse e-mail, de nom d’utilisateur et de mot de passe haché étaient cohérents entre eux. La fiche existante a donc été conservée dans ce cadre. Le second index, qui indique un nombre plus élevé pour le même nom de domaine, n’a pas été retenu à la place du nombre principal en raison de l’absence de date et des différences entre les champs de données. Cet écart peut provenir de copies des mêmes données nettoyées différemment, de lignes en double, de règles d’importation différentes ou d’une archive du forum plus étendue.

L’incident n’est pas étayé par une communication vérifiée de l’entreprise et ne doit pas être présenté comme ayant fait l’objet d’une confirmation définitive de sa part. La redirection actuelle du nom de domaine vers une autre adresse ne prouve pas, à elle seule, le contenu du forum ni la provenance de l’ensemble de données datant de 2011. La description a donc été limitée à la date, au nombre d’enregistrements et aux champs de données étayés. Les affirmations plus larges n’ont pas été présentées à l’utilisateur comme des informations définitives sans confirmation officielle ou article de presse indépendant. Cette approche réduit le risque de faux positifs tout en permettant aux utilisateurs pour lesquels une correspondance est effectivement trouvée d’agir selon les bonnes priorités.

Le risque le plus élevé concerne les personnes qui réutilisent le mot de passe de leur compte HackBase sur d’autres forums, comptes de messagerie, services de développement, outils de sécurité, plateformes de jeux ou comptes professionnels. Lorsque le nom d’utilisateur et l’adresse e-mail apparaissent ensemble, les attaquants peuvent rechercher les traces du même pseudonyme sur différents sites. Les membres de la communauté technique, les administrateurs, les développeurs, les passionnés de sécurité et les anciens membres du forum peuvent ainsi être exposés à des messages plus ciblés. Même si un ancien mot de passe de forum semble aujourd’hui sans importance, le risque persiste s’il est encore utilisé ailleurs.

Les informations de hachage permettent à l’attaquant d’effectuer des tentatives hors ligne. Les mots de passe faibles, courts, fondés sur des mots du dictionnaire ou dérivés d’anciennes informations personnelles peuvent être retrouvés rapidement. Le risque est plus élevé pour les personnes qui conservent la même adresse e-mail pendant de nombreuses années, car d’anciens enregistrements de comptes peuvent être associés à de nouveaux services. Le contexte du forum de piratage peut aussi servir à exercer une pression sociale ou à mener un hameçonnage ciblé en s’appuyant sur la réputation, les liens associés à un pseudonyme et l’activité passée sur le forum. Il convient donc d’examiner non seulement le compte du forum concerné par la fuite, mais aussi tous les comptes importants liés aux mêmes éléments d’identification.

La priorité est de changer le mot de passe de tous les comptes utilisant un mot de passe identique ou similaire à celui de HackBase. Le compte de messagerie doit être traité en premier, car un attaquant qui accède à la boîte de réception peut utiliser les procédures de réinitialisation des mots de passe d’autres services. Il convient ensuite de vérifier les comptes de développement, la gestion des domaines, les services cloud, les comptes de forum, les profils sur les réseaux sociaux et les sessions liées aux services financiers. Choisissez un mot de passe unique, long et aléatoire pour chaque compte. Les comptes sur lesquels le même mot de passe est réutilisé devraient figurer dans le gestionnaire de mots de passe.

Activez l’authentification multifacteur, en particulier pour la messagerie, les comptes professionnels, les services de développement et les sessions cloud. Un code généré par une application, une clé de sécurité matérielle ou une clé d’accès offre une protection plus forte qu’un code reçu par SMS. Examinez attentivement les alertes signalant des appareils inconnus, les notifications d’échec de connexion, les messages inattendus de réinitialisation de mot de passe et les e-mails suspects liés à l’identifiant du forum. Méfiez-vous des messages contenant des liens en rapport avec HackBase ou les forums de sécurité, des invitations à télécharger des fichiers et des demandes frauduleuses de vérification de compte.

Cet incident montre que les anciennes fuites de forums restent importantes pour la protection de l’identité, même des années plus tard. Pour une protection durable, l’utilisation d’un mot de passe unique pour chaque compte doit devenir la règle. Utilisez régulièrement un gestionnaire de mots de passe pour générer de longs mots de passe aléatoires et repérer les anciens doublons. Examinez au moins quelques fois par an les anciens comptes ouverts sur des forums consacrés à la sécurité, au piratage, aux jeux, aux logiciels et aux communautés. Les comptes inutilisés doivent être fermés ou isolés au moyen d’un mot de passe fort et unique.

Pour les utilisateurs ayant un profil technique, la séparation des pseudonymes et des adresses e-mail est également importante. L’utilisation du même pseudonyme dans un cadre professionnel, sur des forums personnels, pour la recherche en sécurité et sur les réseaux sociaux augmente le risque de rattacher ces activités à une même personne. Les alertes de session, le contrôle des appareils et la prise en charge des clés d’accès doivent rester actifs sur les comptes critiques. En entreprise, des audits de mots de passe, l’authentification multifacteur et des formations de sensibilisation à la sécurité doivent être mis en place pour empêcher les employés de réutiliser d’anciens mots de passe de forums sur leurs comptes professionnels. Comme les anciennes données de hachage peuvent faire l’objet de nouvelles tentatives avec de nouveaux outils d’attaque, le risque ne disparaît pas complètement avec le temps.

Si un résultat HackBase apparaît sur LeakData, considérez-le comme un signal de risque non vérifié figurant dans des inventaires publics de fuites de données, et non comme une notification officielle vérifiée par l’entreprise. Le périmètre principal affiché est de 10 625 comptes; les champs de données se limitent aux adresses e-mail, aux noms d’utilisateur, aux mots de passe et aux informations sur le type de hachage des mots de passe. Bien que l’adresse IP et les informations sur le forum figurent dans le répertoire plus large, ces éléments ne sont pas ajoutés aux champs de données publics, car leur inclusion dans le périmètre principal n’est pas définitivement établie. Le résultat doit servir avant tout à repérer les comptes sur lesquels d’anciens mots de passe sont réutilisés.

Si une correspondance est trouvée, vous devez d’abord renouveler le mot de passe de votre compte de messagerie, puis celui de tous les comptes techniques et personnels utilisant un mot de passe identique ou similaire. Recherchez les comptes utilisant le même mot de passe dans votre gestionnaire de mots de passe et remplacez, un par un, les anciens mots de passe de forums par des mots de passe uniques. Vérifiez l’activité des comptes, l’historique des connexions et les appareils connectés; mettez fin aux sessions inconnues. Ne vous fiez pas aux messages inattendus portant sur un forum de piratage, un outil de sécurité, le partage de fichiers ou la vérification d’un compte. Plutôt que de suivre des liens, privilégiez une vérification en saisissant manuellement l’adresse du service concerné.