Fuite de données chez Liker

Le risque associé à cette fiche tient à la diversité des types de données. Lorsqu’une adresse e-mail, un nom d’utilisateur et le nom d’une personne sont réunis, il devient plus facile de retrouver cette personne sur différents réseaux sociaux, forums ou comptes professionnels. Un numéro de téléphone et une adresse IP peuvent rendre les messages d’hameçonnage plus convaincants. Les champs du profil, comme la date de naissance, le niveau d’études et la localisation géographique, fournissent un contexte supplémentaire dans les scénarios d’ingénierie sociale. L’exposition des messages privés accroît le risque pour la vie privée; des tiers peuvent utiliser à mauvais escient les relations personnelles des utilisateurs, leurs opinions politiques, leur cercle d’amis, leurs noms de compte sur d’autres plateformes ou leurs préférences de communication. La présence de questions de sécurité et de leurs réponses en clair constitue un problème plus critique; si les mêmes réponses sont utilisées sur d’autres services, des attaquants peuvent cibler les procédures de réinitialisation des mots de passe. La protection des mots de passe par bcrypt est un élément technique positif, mais le risque persiste pour les mots de passe faibles ou réutilisés.

Le périmètre vérifié concerne les comptes du réseau social Liker. Cette fiche ne signifie pas que des comptes Gab, Parler, Facebook, Twitter ou d’un autre réseau social ont été directement compromis; l’incident se limite à l’exposition de données d’utilisateurs détenues par le service Liker. Le nombre 465 141 correspond à des adresses e-mail ou à des comptes uniques identifiés. Bien que certaines sources de recherche puissent afficher un nombre de lignes inférieur, cet écart peut tenir à la différence entre la mesure du sous-ensemble de données accessible et le décompte des comptes uniques. Les champs de données vérifiés sont nombreux, mais les numéros de carte de paiement, les comptes bancaires, les numéros de documents d’identité officiels et les données de passeport n’en font pas partie dans cette fiche. Il a été vérifié que les mots de passe étaient stockés avec bcrypt; il serait donc inexact de les présenter comme des mots de passe en clair dans cette fiche. En revanche, la présence de la question de sécurité et de ses réponses en clair crée un risque supplémentaire pour la récupération des comptes si les utilisateurs emploient les mêmes réponses sur d’autres comptes.

Le risque est le plus élevé pour les personnes qui utilisent sur leur compte Liker la même adresse e-mail, le même nom d’utilisateur ou le même numéro de téléphone que sur d’autres réseaux sociaux. Si le même mot de passe est réutilisé sur différents services, le risque de prise de contrôle d’un compte n’est pas totalement éliminé, même si la protection bcrypt augmente le coût d’une attaque. Les utilisateurs qui répondent aux questions de sécurité avec des informations réelles et réutilisées doivent également faire preuve de prudence; des réponses comme le nom de jeune fille de la mère, le lieu de naissance, l’école primaire ou le nom d’un animal de compagnie peuvent devenir des indices précieux pour un attaquant si elles sont identiques sur d’autres comptes. Le risque pour la vie privée est plus élevé pour les personnes qui ont partagé, dans des messages privés sur Liker, des informations sur leurs relations personnelles, des noms d’autres comptes, des discussions politiques, des indices sur leur adresse ou des informations téléphoniques. Les liens vers des profils sur les réseaux sociaux facilitent également le suivi d’une personne d’une plateforme à l’autre. Le service étant hors ligne, il peut être impossible de sécuriser directement le compte Liker; le risque se reporte donc sur les autres comptes utilisant les mêmes identifiants.

Si vous avez utilisé le mot de passe de votre compte Liker ailleurs, changez-le immédiatement. Donnez la priorité aux comptes de messagerie électronique, aux comptes de réseaux sociaux, aux services de messagerie et aux comptes présentant un enjeu financier. Choisissez un mot de passe long et unique pour chaque compte et activez l’authentification à deux facteurs partout où cela est possible. Si les réponses aux questions de sécurité utilisées sur Liker sont également valables sur d’autres services, remplacez-les par des valeurs aléatoires, imprévisibles et propres à chaque service. Examinez attentivement les liens suspects envoyés au même numéro de téléphone ou à la même adresse e-mail, les fausses notifications de l’assistance et les messages prétendant concerner d’anciens comptes de réseaux sociaux. Si des informations concernant d’autres personnes figurent dans les messages privés, il convient d’en informer brièvement et clairement les personnes concernées. Surveillez les e-mails de récupération de compte, les sessions ouvertes sur des appareils inconnus et les demandes inattendues de réinitialisation de mot de passe : ce sont des signaux à prendre en compte pour la sécurité.

Cet incident montre que les champs de profil enregistrés dans les comptes de réseaux sociaux peuvent continuer à présenter des risques, même des années plus tard. À long terme, conservez un mot de passe distinct pour chaque compte de réseau social, de forum et de communauté; utilisez un gestionnaire de mots de passe pour remplacer les mots de passe réutilisés. Sur les services qui utilisent des questions de sécurité, privilégiez des réponses aléatoires propres à chaque service plutôt que des réponses réelles. Ne renseignez pas les champs comme la date de naissance, le niveau d’études, le numéro de téléphone et la localisation s’ils ne sont pas obligatoires dans le profil. Gardez à l’esprit que les liens vers les profils de réseaux sociaux permettent de relier les anciens comptes aux nouveaux; utiliser partout le même nom d’utilisateur est pratique, mais facilite la constitution d’un profil de la personne par des attaquants. Considérez les messages privés comme des données permanentes et n’y conservez pas d’identifiants de connexion à d’autres comptes, de numéros de téléphone, d’adresses, d’indices sur votre identité ou d’informations sensibles sur vos relations. Même si l’ancien service a fermé, les données qui en ont fuité peuvent être réutilisées dans de nouvelles tentatives d’hameçonnage.

Cette fiche doit être consultée par les personnes qui ont déjà ouvert un compte Liker, reçu une invitation Liker ou utilisé la même adresse e-mail pour essayer des réseaux sociaux. Si une correspondance est trouvée, la première mesure consiste à attribuer des identifiants distincts à tous les comptes créés avec la même combinaison d’adresse e-mail et de mot de passe. Vérifiez ensuite si le numéro de téléphone, le nom d’utilisateur et les réponses aux questions de sécurité sont réutilisés sur d’autres services. Le service Liker étant hors ligne, il peut être impossible de modifier directement les paramètres du compte; les mesures de protection doivent donc être appliquées au compte de messagerie électronique associé et aux autres plateformes sociales. Même si aucune correspondance n’est trouvée, cet incident illustre le risque à long terme lié au fait de laisser des données personnelles inutiles sur les réseaux sociaux. L’approche la plus sûre consiste à réduire le nombre d’anciens comptes, à utiliser des mots de passe uniques, à choisir des réponses aléatoires aux questions de sécurité et à éviter de partager dans les messages privés des informations susceptibles de servir à l’authentification.