Fuite de données chez Leaked Reality

L’analyse conjointe des catégories de données vérifiées permet de cerner au mieux les risques et leurs implications pour la vie privée. Une adresse e-mail permet de contacter l’utilisateur, un nom d’utilisateur peut être rapproché de profils sur différentes communautés, une adresse IP peut donner une indication de localisation approximative ou de fournisseur d’accès, tandis que les empreintes de mots de passe présentent un risque de cassage si les mots de passe sont faibles. MD5 est un ancien algorithme de hachage rapide qui permet de tester rapidement de nombreux mots de passe; phpass peut être plus résistant selon ses paramètres, mais ne constitue pas à lui seul une garantie de protection pour les mots de passe faibles.

• Adresses e-mail : Elles peuvent être utilisées pour envoyer de fausses notifications de compte, des menaces de chantage, des demandes de paiement ou des alertes de sécurité.
• Noms d’utilisateur : Ils peuvent être rapprochés de profils sur différents forums, réseaux sociaux ou plateformes vidéo.
• Adresses IP : Elles peuvent donner une indication géographique approximative et une trace de connexion; elles peuvent rendre les messages ciblés plus convaincants.
• Empreintes de mots de passe : Les mots de passe faibles ou réutilisés risquent d’être retrouvés par cassage de leurs empreintes, puis testés sur d’autres comptes.
• Contexte du service : Compte tenu du type de site, le rapprochement de profils peut présenter des risques plus élevés pour la vie privée et en matière de chantage que pour un compte sur un forum ordinaire.

Cette fiche doit rester centrée sur les 114 907 comptes associés à des adresses e-mail uniques. Bien que certains index indiquent un nombre de lignes de l’ordre de 114.5xx, l’indicateur principal fiable est le nombre d’adresses e-mail uniques. Il n’a pas été vérifié que les mots de passe figurent en clair; l’information vérifiée est qu’ils apparaissent sous forme d’empreintes MD5 ou phpass. Il ne faut donc pas affirmer que tous les mots de passe ont été exposés en clair, tout en conseillant à l’utilisateur de cesser de réutiliser ses mots de passe et de remplacer ceux qui sont faibles.

Les champs vérifiés sont les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Les numéros de téléphone, les adresses physiques, les cartes de paiement, les informations de facturation, les données d’identité officielles, les données de santé, le contenu des messages privés et les listes de contenus visionnés ne font pas partie des catégories de données vérifiées pour cette fiche. Par ailleurs, même si le site n’est plus accessible aujourd’hui, ce jeu de données historique peut encore être recoupé avec d’autres sources. Le périmètre doit donc être compris à la lumière de ces deux éléments : les champs techniques sont limités, mais le contexte accroît l’impact sur la vie privée.

Les personnes les plus exposées sont celles qui utilisent également l’adresse e-mail ou le nom d’utilisateur de leur compte Leaked Reality sur d’autres profils de réseaux sociaux, de plateformes vidéo, de forums ou de services professionnels. Si le même identifiant est réutilisé sur différents services, des attaquants peuvent relier ces profils pour exercer des pressions personnalisées ou envoyer de fausses alertes ou des messages de chantage. Compte tenu du type de site, même si les affirmations de l’attaquant ne sont pas entièrement vraies, le simple rapprochement des comptes peut servir à exercer une pression psychologique sur l’utilisateur.

Le risque lié aux mots de passe dépend de la possibilité de casser les empreintes et de la réutilisation du même mot de passe sur d’autres comptes. Même si un ancien mot de passe n’est plus utilisé aujourd’hui, des attaquants peuvent en essayer des variantes proches. Si votre compte de messagerie, vos réseaux sociaux, votre stockage dans le cloud, vos services de paiement et vos profils professionnels utilisent des mots de passe identiques ou similaires, ces comptes doivent être traités en priorité. Une adresse IP ne fournit pas à elle seule une localisation exacte; elle peut toutefois aider à adapter la langue et le moment d’envoi des messages dans le cadre d’une attaque ciblée par ingénierie sociale.

Si votre adresse e-mail apparaît dans cette fiche, commencez par changer le mot de passe que vous avez pu utiliser sur Leaked Reality, ainsi que celui de tout autre compte utilisant le même mot de passe. Même si l’ancien service n’est plus actif, ce mot de passe peut encore être utilisé sur d’autres comptes. Vérifiez en priorité votre compte de messagerie, vos réseaux sociaux, vos forums, vos services cloud et vos services de paiement. Lors du changement, choisissez pour chaque compte un mot de passe unique, long et aléatoire.

1. Cessez de réutiliser vos mots de passe : Si vous utilisez un mot de passe identique ou similaire sur d’autres comptes, remplacez-le sur chacun d’eux par un mot de passe distinct.
2. Activez l’authentification multifacteur : Privilégiez la vérification au moyen d’une application pour votre messagerie et vos comptes essentiels.
3. Ne répondez pas aux messages de chantage : Conservez des preuves et signalez les messages exigeant un paiement, formulant des menaces ou évoquant une divulgation, lorsqu’ils prennent ce rapprochement pour prétexte.
4. Surveillez l’historique des connexions : Si vous ne reconnaissez pas une session, une région ou un appareil, verrouillez le compte concerné.
5. Limitez les rapprochements entre profils : Fermez les anciens profils inutiles qui utilisent le même nom d’utilisateur, ou réduisez leur visibilité.

Utiliser une adresse e-mail distincte de votre adresse principale pour les services présentant un risque élevé pour la vie privée, éviter de réutiliser systématiquement le même nom d’utilisateur et générer un mot de passe unique pour chaque compte sont les protections les plus efficaces à long terme. Un gestionnaire de mots de passe facilite cette séparation. Il est également utile de passer régulièrement en revue vos anciens comptes et de noter les adresses e-mail et les pseudonymes que vous utilisiez sur les services devenus inaccessibles ou ayant fermé.

Du point de vue des entreprises, cet incident montre que le choix de la méthode de stockage des mots de passe a des effets à long terme, même au sein de petites communautés vidéo ou de communautés spécialisées. Les méthodes de hachage rapides comme MD5 peuvent mettre en danger les autres comptes des utilisateurs une fois les données divulguées. Des paramètres de hachage robustes, l’absence de conservation inutile des adresses IP, la minimisation des données, une notification rapide après une fuite et le nettoyage régulier des anciens systèmes sont des mesures de protection fondamentales pour réduire l’impact d’incidents similaires.

Une correspondance dans cette fiche indique que votre adresse e-mail est associée aux champs vérifiés du jeu de données de Leaked Reality. Ce résultat ne signifie pas à lui seul que votre historique privé de contenus visionnés, vos informations de paiement ou votre adresse physique ont été exposés lors de cet incident. Les champs vérifiés se limitent aux adresses e-mail, aux noms d’utilisateur, aux adresses IP et aux empreintes de mots de passe. Toutefois, compte tenu du contexte du site, les risques d’hameçonnage, de chantage et d’atteinte à la réputation doivent être pris au sérieux.

Après une vérification, les mesures les plus appropriées consistent à cesser de réutiliser d’anciens mots de passe, à activer l’authentification multifacteur sur les comptes essentiels, à limiter la réutilisation des noms d’utilisateur et à ne pas répondre directement aux messages de menace. Ne cliquez pas sur les liens suspects; si nécessaire, accédez aux services concernés en saisissant vous-même leur adresse. Même en l’absence de correspondance, utiliser des adresses e-mail distinctes et des mots de passe uniques pour les services présentant des risques élevés pour la vie privée réduit l’impact de futures fuites de données.