hemmelig.com Fuite de données

Les types de données vérifiés sont les adresses e-mail, les informations sur le genre, les pseudonymes, les dates de naissance partielles, les mots de passe et les noms d’utilisateur. L’adresse e-mail peut permettre de faire le lien avec le principal compte de communication de la personne. Le nom d’utilisateur et le pseudonyme présentent un risque de rapprochement entre des profils sur différentes plateformes. Les champs du profil, comme le genre et la date de naissance partielle, peuvent rendre les messages d’ingénierie sociale plus convaincants.

Les empreintes de mots de passe revêtent une importance particulière. MD5 est considéré comme faible au regard des normes de sécurité actuelles. En l’absence de sel, un même mot de passe produit toujours la même empreinte, ce qui facilite les essais rapides à partir de grandes listes de mots de passe. Ainsi, si vous vous souvenez de votre ancien mot de passe, le risque ne peut pas être considéré comme atténué tant que vous n’avez pas modifié les mots de passe de tous les comptes utilisant une combinaison identique ou similaire.

Le contexte d’une boutique de produits pour adultes rend cet incident plus sensible qu’une fuite ordinaire de comptes de commerce en ligne. Même si le jeu de données divulgué ne contient pas d’informations sur les cartes de paiement ou les adresses postales, le lien d’une personne avec ce service peut être exploité pour exercer une pression sociale, envoyer des messages embarrassants ou mener des tentatives d’hameçonnage ciblées. La sécurité des mots de passe et la protection de la vie privée doivent donc être abordées ensemble.

Pour l’incident hemmelig.com, la date confirmée de la fuite est le 21 décembre 2011, la date d’ajout à la base de données est le 25 mars 2014 et le nombre de comptes uniques touchés est de 28 641. L’incident fait l’objet d’une vérification indépendante et son caractère sensible doit être préservé. Les nombres de personnes, les champs de données et les affirmations d’acteurs malveillants qui n’ont pas été vérifiés ne sont pas considérés comme faisant partie du périmètre public de l’incident.

Le périmètre se limite au domaine hemmelig.com et aux catégories de données vérifiées. Les numéros de téléphone, adresses physiques, cartes de paiement, comptes bancaires, numéros de documents d’identité officiels, passeports, détails des commandes, messages privés et photos de profil ne sont pas des champs vérifiés pour cet incident. Le risque présenté à l’utilisateur doit donc être décrit à partir des champs suivants : adresse e-mail, genre, pseudonyme, date de naissance partielle, mot de passe et nom d’utilisateur.

Certaines déclarations concernant cette fuite emploient l’expression « plus de 28 000 comptes », mais le nombre de comptes uniques à retenir est de 28 641. Le nombre brut de lignes ou les décomptes intermédiaires figurant dans d’anciennes listes peuvent être différents. Pour calculer l’impact sur les utilisateurs, il faut se fonder sur le nombre vérifié de comptes uniques et sur les types de données dont la présence est avérée.

Le groupe le plus exposé comprend les personnes qui possédaient un compte hemmelig.com avant 2011 ou à cette époque, qui utilisaient la même adresse e-mail pour d’autres services et qui réutilisaient le même mot de passe sur plusieurs comptes. Le risque de rapprochement d’identités augmente pour les personnes qui utilisent également leur nom d’utilisateur ou leur pseudonyme sur d’autres plateformes.

Les personnes auxquelles la révélation d’un lien avec une boutique de produits pour adultes pourrait porter préjudice sont particulièrement exposées sur le plan de la vie privée. Des attaquants peuvent tenter de les intimider, de les embarrasser ou de leur réclamer un paiement en exploitant d’anciennes informations d’adresse e-mail, de pseudonyme ou de mot de passe. Ces messages ne doivent pas être considérés d’emblée comme fiables, même s’ils contiennent de véritables informations de compte.

Les informations sur le genre et la date de naissance partielle peuvent servir dans les procédures de récupération de compte ou dans des messages d’hameçonnage personnalisés. Si vous utilisez votre année de naissance ou une partie de votre date de naissance dans des questions de sécurité, pour choisir un code PIN ou pour construire vos mots de passe, vous devriez examiner séparément ces éléments.

Si vous êtes concerné, vous devriez abandonner définitivement le mot de passe utilisé sur votre compte hemmelig.com. Si un mot de passe identique ou similaire est encore valable sur d’autres comptes, choisissez un nouveau mot de passe long et unique pour chacun d’eux. Protégez en priorité votre compte e-mail principal, vos comptes de réseaux sociaux et d’achat en ligne, ainsi que les services utilisés pour réinitialiser vos mots de passe.

Activez la vérification en deux étapes sur les comptes qui la prennent en charge. Ne versez pas d’argent en réponse à des messages de menace contenant votre ancien mot de passe ou pseudonyme, ne cliquez pas sur les liens et accédez directement à vos comptes depuis une session de navigateur de confiance. Vérifiez les alertes de connexion inattendues, les notifications de réinitialisation de mot de passe et les historiques de sessions.

Si votre date de naissance partielle ou votre genre sont utilisés dans les questions de récupération de compte, modifiez les réponses correspondantes. Si votre nom d’utilisateur apparaît également sur d’autres plateformes, réduisez la visibilité de vos profils et limitez le lien entre ce compte d’achat sensible et votre identité principale.

L’incident hemmelig.com illustre le risque à long terme lié à l’inscription sous son identité principale sur des services d’achat sensibles ou de contenus pour adultes. Pour des services similaires, privilégiez un alias d’adresse e-mail distinct, un mot de passe unique et un minimum d’informations de profil. Cet alias ne devrait pas être identique à ceux de vos autres comptes de réseaux sociaux ou de forums.

Un gestionnaire de mots de passe facilite la création de mots de passe uniques et aléatoires pour chaque compte. Même d’anciennes fuites contenant des empreintes MD5 peuvent être exploitées des années plus tard dans des tentatives de bourrage d’identifiants. Il convient donc d’abandonner complètement les anciennes combinaisons utilisées pour construire vos mots de passe. Vérifiez régulièrement les adresses e-mail et les anciens pseudonymes que vous avez utilisés par le passé.

Pour les équipes de sécurité des entreprises, ces incidents rappellent le risque d’hameçonnage ciblé provenant des comptes personnels d’achat ou de services sensibles des employés. Les formations devraient inclure des scénarios de pression fondés sur des données relevant de la vie privée, des canaux de signalement sécurisés et une démarche de soutien aux employés sans les stigmatiser.

Pour savoir si vous avez été touché par la fuite de données de hemmelig.com, effectuez une recherche avec l’adresse e-mail concernée sur l’écran « Sécurité des comptes » d’un service de confiance. Un résultat positif signifie que cette adresse e-mail figure dans le jeu de données sensible et vérifié associé à hemmelig.com. Ce résultat ne prouve pas que vous possédez encore un compte actif aujourd’hui : le risque peut provenir d’informations de compte datant de 2011.

Si vous obtenez un résultat positif, vous devriez modifier vos mots de passe, sécuriser votre compte e-mail principal, activer l’authentification à deux facteurs et limiter la réutilisation des mêmes noms d’utilisateur. Vérifiez également vos anciennes adresses e-mail, vos alias et vos différents noms d’utilisateur. Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée pour l’adresse e-mail recherchée; les autres adresses utilisées par le passé devraient aussi être examinées.

Bien que la fuite de hemmelig.com semble d’ampleur moyenne, elle est importante en raison du contexte d’achat sensible et du risque lié aux empreintes de mots de passe faibles. La démarche la plus appropriée consiste à cesser de réutiliser les mêmes mots de passe, à séparer les comptes sensibles de votre identité principale, à ne pas répondre aux messages de menace et à vérifier que vos anciennes informations de compte ne sont plus utilisées sur d’autres services.