Last.fm Fuite de données

Les principaux champs confirmés dans la fuite de Last.fm sont les adresses e-mail, les noms d’utilisateur, les mots de passe et l’activité sur le site web. En disposant à la fois de l’adresse e-mail et du nom d’utilisateur, les attaquants peuvent préparer des tentatives ciblées pour deviner les mots de passe, de fausses alertes de sécurité et des messages de récupération de compte. Les informations sur l’activité sur le site web augmentent, quant à elles, le risque d’ingénierie sociale en révélant les préférences du compte sur le service musical, l’utilisation du profil et les comportements liés au service.

La présence de mots de passe sous forme de hachages MD5 non salés constitue le risque le plus critique. MD5 est considéré comme faible au regard des normes de sécurité actuelles; les mots de passe stockés sous forme de hachages non salés peuvent être retrouvés plus rapidement à l’aide de dictionnaires et de listes de hachages précalculés. Si le même mot de passe est réutilisé pour des comptes de messagerie, de réseaux sociaux, de musique, de jeux ou d’achats en ligne, les attaquants peuvent essayer les identifiants compromis sur d’autres services. Un résultat Last.fm ne constitue donc pas seulement un avertissement concernant un ancien compte sur un service musical : c’est un signal de sécurité des comptes hautement prioritaire, qui exige de cesser de réutiliser les mots de passe.

La fuite date de mars 2012. Le service a adressé aux utilisateurs un avertissement sur la sécurité des mots de passe en 2012, mais l’ampleur réelle du jeu de données n’a été plus largement connue qu’en 2016. L’ensemble de comptes vérifié contient 37 217 682 adresses e-mail uniques; des rapports plus généraux sur l’incident mentionnent environ 43 millions de lignes de comptes. Cette différence s’explique par les comptes en double, le nettoyage des adresses e-mail et la distinction faite pour les enregistrements uniques vérifiables.

Les catégories de données présentées sur cette page se limitent aux champs qui peuvent être vérifiés lors d’une recherche relative à la sécurité des comptes : adresses e-mail, mots de passe, noms d’utilisateur et activité sur le site web. Les détails techniques non confirmés concernant l’incident, ainsi que les champs de profil supplémentaires dont la présence n’a pas été vérifiée pour chaque utilisateur, ne sont pas présentés ici comme des champs de données principaux. L’objectif est de montrer aux utilisateurs où se concentre le risque réel et de mettre en évidence les mesures de sécurité appropriées, sans susciter de crainte inutile.

Les personnes qui possèdent un compte Last.fm, utilisent le même nom d’utilisateur sur différentes plateformes et réutilisent d’anciens mots de passe constituent le principal groupe à risque. Les services musicaux étant souvent associés à des profils sociaux, à des noms d’utilisateur et à des connexions avec d’autres plateformes, les attaquants peuvent rechercher la même identité sur différents sites. La présence persistante d’un ancien nom d’utilisateur sur des comptes de réseaux sociaux, de messagerie ou de jeux augmente le risque que ces comptes soient reliés entre eux.

Les personnes qui réutilisent leurs mots de passe sont davantage exposées. Même si le mot de passe utilisé en 2012 ne l’est plus aujourd’hui, les attaquants peuvent essayer des variantes similaires si de nouveaux mots de passe ont été créés selon le même modèle. Si le compte de messagerie utilise un mot de passe de la même famille, les procédures de réinitialisation des mots de passe d’autres comptes peuvent également être ciblées. Les préférences musicales et les comportements observés sur le profil pouvant servir à personnaliser de faux messages, le risque d’hameçonnage ne doit pas non plus être négligé.

Il faut changer immédiatement les mots de passe de tous les comptes qui utilisent un mot de passe identique ou similaire à celui de Last.fm. Le nouveau mot de passe doit être unique, long et aléatoire; il convient de le conserver dans un gestionnaire de mots de passe. La priorité doit aller aux comptes de messagerie, aux réseaux sociaux, aux services musicaux, aux comptes de jeux et aux plateformes contenant des informations de paiement. Ajouter un chiffre à la fin de l’ancien mot de passe ou modifier quelques lettres ne suffit pas à assurer une protection adéquate.

Il convient d’activer l’authentification multifacteur sur tous les comptes qui la proposent. Sur le compte de messagerie, il faut vérifier l’historique des connexions, les adresses de récupération, les règles de transfert et la présence d’appareils inconnus. Il faut également se méfier des fausses alertes de sécurité faisant référence à Last.fm ou aux services musicaux, des liens de partage de chansons, des messages de vérification de profil et des demandes de réinitialisation de mot de passe. Le nom de domaine doit être vérifié avant de cliquer sur un lien, et aucun mot de passe ne doit être saisi à partir d’un message suspect.

L’incident Last.fm montre qu’une fuite survenue il y a de nombreuses années peut encore affecter la sécurité des comptes aujourd’hui. Les utilisateurs doivent régulièrement passer en revue leurs anciens mots de passe, éviter de réutiliser le même mot de passe sur différents services et utiliser des alias de messagerie lorsque cela est possible. Si les noms des profils sociaux, des comptes sur des services musicaux et les noms d’utilisateur sur les forums sont très similaires, les attaquants peuvent plus facilement relier les comptes entre eux.

Pour une protection durable, il convient d’associer un gestionnaire de mots de passe, une politique de mots de passe uniques, l’authentification multifacteur et des notifications de session. Les anciens comptes inutilisés doivent être fermés ou, au minimum, protégés par un mot de passe robuste. En entreprise, pour éviter que les employés ne réutilisent sur leurs comptes professionnels les mots de passe de leurs comptes personnels de musique et de réseaux sociaux, il faut mettre en place des vérifications de mots de passe divulgués, des formations à la sécurité et des politiques de vérification supplémentaires.

Si un résultat Last.fm apparaît lors de la vérification dans « Sécurité des comptes », cela signifie que l’adresse e-mail concernée figure dans l’ensemble de comptes vérifié associé à la fuite de données de Last.fm de 2012. Ce résultat ne signifie pas que votre compte Last.fm actuel est compromis aujourd’hui; il indique toutefois que le nom d’utilisateur, l’adresse e-mail et les informations de mot de passe utilisés par le passé pourraient faire l’objet d’une utilisation abusive. Le risque est plus élevé si le même mot de passe a été utilisé sur d’autres comptes.

La première étape consiste à sécuriser votre compte de messagerie, puis à mettre à jour un par un tous les comptes qui utilisent un mot de passe identique ou similaire. Si vous constatez des sessions suspectes, des appareils inconnus, des messages inattendus de réinitialisation de mot de passe ou des notifications inhabituelles envoyées depuis votre compte, il convient de mettre fin aux sessions et de lancer une vérification depuis le centre de sécurité du service concerné. Cesser complètement de réutiliser les mots de passe, mettre à jour les anciens comptes de musique et de réseaux sociaux, et rester vigilant face aux messages d’hameçonnage sont les mesures les plus efficaces à prendre lorsqu’un résultat Last.fm apparaît.