Fuite de données chez Linux Forums

Les champs de données dont l’exposition est vérifiée sont les adresses e-mail, les adresses IP, les noms d’utilisateur et les empreintes de mots de passe. La présence conjointe d’une adresse e-mail et d’un nom d’utilisateur augmente le risque de recoupement entre les identités utilisées par une personne sur d’autres forums techniques, dans des espaces de projets open source, sur des systèmes de suivi des bogues ou sur des plateformes sociales. Les adresses IP peuvent fournir des indices sur l’historique des connexions de l’utilisateur, sa région approximative ou son fournisseur d’accès à Internet. Même si les mots de passe ne sont pas en clair, le hachage MD5 avec salage n’est pas considéré comme une protection robuste : cette méthode ne répond pas aux standards actuels de résistance aux attaques multipliant rapidement les essais. Des attaquants peuvent tenter de deviner hors ligne les mots de passe faibles, courts ou fondés sur des mots du dictionnaire. Si le même mot de passe est réutilisé pour une messagerie, des services cloud, des services d’hébergement de code, des forums ou des interfaces d’administration de serveurs, le risque peut s’étendre bien au-delà du compte du forum.

Cette fiche porte uniquement sur les données des membres du forum Linux Forums. L’incident ne signifie pas que le noyau Linux, les distributions Linux, les dépôts de paquets, le code de projets open source ou les serveurs Linux des utilisateurs ont été directement compromis. Les champs vérifiés sont l’adresse e-mail, le nom d’utilisateur, l’adresse IP et l’empreinte du mot de passe. Les numéros de téléphone, les adresses physiques, les données de cartes de paiement, les numéros de pièces d’identité officielles, les messages privés et les données financières ne font pas partie des champs vérifiés pour cette fiche. Le nombre 275 785 correspond au nombre de comptes uniques touchés. Certaines sources secondaires peuvent indiquer un chiffre arrondi à 276 mille comptes; le nombre retenu ici est le nombre vérifié de comptes uniques. Les archives accessibles au site pendant la période de l’incident et les rapports techniques indépendants étayent le constat selon lequel le forum présentait des risques liés à son ancienne version de vBulletin. L’état actuel du site n’a pas pu faire l’objet d’une vérification supplémentaire, car le domaine en ligne ne répondait pas depuis l’environnement de production.

Le risque est le plus élevé pour les personnes qui utilisent également le mot de passe de leur compte Linux Forums sur d’autres services techniques. Dans les communautés Linux et open source, un même nom d’utilisateur peut être conservé pendant des années sur des services d’hébergement Git, des forums consacrés aux paquets, des espaces d’assistance aux distributions, des systèmes de suivi des bogues et des comptes IRC ou de messagerie instantanée. Cela permet aux attaquants de reconstituer plus facilement un profil étendu de l’identité en ligne d’une personne à partir d’une seule inscription à un forum. Les administrateurs système, les développeurs, les étudiants, les contributeurs open source et les utilisateurs actifs des forums d’assistance Linux doivent être particulièrement vigilants. Si l’adresse e-mail correspond aussi à un compte professionnel, des tentatives d’hameçonnage ciblé peuvent être menées au moyen de messages prenant la forme de fausses alertes de sécurité ou de notifications de mise à jour de paquets, ou semblant provenir de modérateurs de la communauté. La présence d’adresses IP peut aider l’attaquant à élaborer un message plus convaincant en s’appuyant sur la région ou le fournisseur d’accès de l’utilisateur.

Si vous utilisez le mot de passe de votre compte Linux Forums sur un autre compte, changez-le immédiatement. Donnez la priorité aux comptes de messagerie, aux services d’hébergement de code, aux interfaces d’administration de serveurs, aux comptes cloud, aux forums de distributions Linux et aux comptes de dépôts de paquets. Utilisez un mot de passe unique, long et difficile à deviner pour chaque compte, et activez l’authentification à deux facteurs partout où elle est disponible. Après avoir changé le mot de passe, mettez fin aux sessions inconnues et vérifiez les e-mails de récupération des comptes. Passez également en revue les anciens comptes de forums créés avec le même nom d’utilisateur. Méfiez-vous des liens reçus par e-mail qui semblent concerner l’assistance Linux, des correctifs de sécurité, des mises à jour de paquets ou des alertes relatives à un compte de forum. Si un lien mène à une page de connexion, vérifiez manuellement l’adresse et ne saisissez votre mot de passe que sur le service officiel.

Cet incident montre que les données des membres stockées dans d’anciens logiciels de forum peuvent présenter un risque même des années plus tard. À long terme, utilisez un gestionnaire de mots de passe pour vos comptes de communautés techniques et protégez chaque forum, espace de projet, dépôt de code et compte de messagerie avec un mot de passe distinct. N’oubliez pas vos anciens comptes de forums : fermez ceux que vous n’utilisez plus ou attribuez-leur au moins un mot de passe unique. Conserver le même nom d’utilisateur partout peut être pratique pour votre réputation dans les communautés techniques, mais cela augmente le risque de recoupement des identités. Les administrateurs système et les développeurs, en particulier, doivent limiter la réutilisation des mots de passe, des adresses e-mail et des noms d’utilisateur entre leurs comptes personnels sur les forums et leurs comptes professionnels. Des traces durables, comme les adresses IP et les adresses e-mail, ne peuvent plus être retirées une fois diffusées. Il convient donc de toujours maintenir actifs l’authentification à deux facteurs, le suivi des sessions et les notifications de sécurité sur vos comptes.

La présence d’une correspondance dans cette fiche indique que les informations de votre compte Linux Forums, notamment l’adresse e-mail, le nom d’utilisateur sur le forum, l’adresse IP et l’empreinte du mot de passe, ont pu circuler. Cela ne signifie pas que le mot de passe était visible en clair. Toutefois, le hachage MD5 avec salage étant une méthode ancienne, la réutilisation des mots de passe doit être considérée comme risquée. La première mesure consiste à attribuer des mots de passe distincts à tous les comptes qui utilisent des mots de passe identiques ou similaires. Vérifiez ensuite la sécurité de votre compte de messagerie, vos comptes de dépôts de code, vos services cloud et vos autres comptes de communautés Linux. Même en l’absence de correspondance, passez en revue vos anciens mots de passe de forums, car les utilisateurs techniques peuvent conserver pendant des années le même nom d’utilisateur et des schémas de mots de passe similaires. La démarche la plus appropriée consiste à utiliser des mots de passe uniques pour les forums, à activer l’authentification à deux facteurs et à examiner attentivement les messages inattendus de connexion ou de réinitialisation de mot de passe provenant de communautés techniques.