Little Monsters Fuite de données

Les champs de données vérifiés se répartissent en quatre grandes catégories : adresses e-mail, noms d’utilisateur, dates de naissance et empreintes de mots de passe. L’adresse e-mail constitue un moyen de contact direct pour les attaquants. Ils peuvent y envoyer des messages d’hameçonnage prenant la forme de fausses alertes de sécurité, de messages de renouvellement d’adhésion, de notifications communautaires ou de messages liés à un fan-club d’artiste. Le nom d’utilisateur peut faciliter l’identification d’une même personne sur différents réseaux sociaux. La date de naissance apporte des éléments supplémentaires pour les questions de récupération de compte, les messages frauduleux ciblés et les tentatives de rapprochement de profils.

Le champ du mot de passe a été décrit comme contenant des valeurs hachées protégées par bcrypt. Cette protection offre une meilleure sécurité qu’une fuite de mots de passe en clair, sans toutefois éliminer entièrement le risque. Les mots de passe faibles peuvent être retrouvés par des calculs informatiques, les mots de passe observés dans des fuites antérieures peuvent être rapidement essayés et, si un même mot de passe est réutilisé sur différents services, plusieurs comptes risquent d’être compromis en chaîne. Sur les services centrés sur les communautés de fans comme Little Monsters, les utilisateurs peuvent conserver le même pseudonyme pendant longtemps. L’association de l’adresse e-mail, du nom d’utilisateur et de la date de naissance rend alors le profil social plus facile à retracer.

Le périmètre vérifié de cette fiche se limite à environ 995 698 comptes et à quatre catégories de données. La date de l’incident doit rester janvier 2017, tandis que la date d’ajout de la fiche, en mars 2017, doit être considérée séparément. Des éléments attestent que le jeu de données était en circulation, et des vérifications ont été effectuées sur un échantillon de comptes. Toutefois, la cause technique exacte de la fuite, le compte d’administration à partir duquel elle a commencé et le composant du système qui a été défaillant n’ont pas été confirmés de manière définitive. L’explication ne doit donc pas présenter comme certaine une technique d’attaque qui reste inconnue.

Little Monsters conserve une présence en tant que réseau social et application mobile, et se présente comme une communauté soutenue par Honeycommb. Ces informations sur le service actuel n’élargissent pas le périmètre de la fuite de 2017; elles servent uniquement à identifier correctement la marque et le contexte communautaire. Dans la fiche, le nom de l’entreprise doit rester Little Monsters, le secteur d’activité doit rester celui des médias sociaux et le domaine du site web doit être conservé sous sa forme simple, littlemonsters.com. Le champ du pays peut indiquer les États-Unis, compte tenu de la mise en avant par l’opérateur de son équipe basée aux États-Unis et des inscriptions dans les boutiques d’applications.

Le risque le plus élevé concerne les personnes qui possédaient un compte Little Monsters avant 2017 et utilisaient également le même mot de passe sur d’autres comptes. Les communautés de fans étant souvent étroitement liées aux profils sur les réseaux sociaux, aux adresses e-mail, aux comptes de services événementiels et aux contenus d’artistes, les attaquants peuvent exploiter ce contexte dans des messages personnalisés. Par exemple, un utilisateur pourrait recevoir une fausse notification portant sur la sécurité d’un ancien compte, une activité de fans, une connexion à l’application ou une invitation à une communauté privée. L’association de l’adresse e-mail et du nom d’utilisateur rend ces messages plus crédibles.

La présence de votre date de naissance dans le jeu de données crée un risque supplémentaire pour les jeunes utilisateurs, les personnes qui ont oublié leurs anciens comptes de fans et celles qui utilisent leur date de naissance dans des questions de sécurité. Vous devriez examiner les comptes de musique, de billetterie, de réseaux sociaux, de photos, de stockage dans le cloud ou de paiement ouverts avec la même adresse e-mail. Par ailleurs, les utilisateurs qui conservent le même pseudonyme sur différentes plateformes peuvent devenir des cibles plus faciles à repérer pour l’hameçonnage et la création de faux profils. Le risque ne tient pas seulement à un ancien compte isolé, mais surtout à la possibilité de le relier à d’autres identités numériques.

Si votre adresse e-mail figure dans cette fiche, essayez d’abord de vous souvenir de l’ancien mot de passe de votre compte Little Monsters et vérifiez sur quels autres services vous avez pu l’utiliser. Si vous retrouvez ce même mot de passe, ou un mot de passe très similaire, sur des comptes de messagerie, de réseaux sociaux, de musique, d’événements, d’achats ou de services financiers, définissez un nouveau mot de passe long et unique pour chacun d’eux. Accordez la priorité au compte de messagerie : s’il est compromis, les liens de réinitialisation des mots de passe d’autres services pourraient être utilisés à mauvais escient.

Activez l’authentification à deux facteurs sur tous vos comptes importants qui la prennent en charge, fermez les sessions ouvertes sur des appareils inconnus et vérifiez l’adresse e-mail et le numéro de téléphone de récupération. Modifiez les questions de sécurité qui contiennent votre date de naissance ou votre nom d’utilisateur. Pour les e-mails liés à Little Monsters ou à la communauté de fans de Lady Gaga, vérifiez l’adresse de l’expéditeur et la page de connexion avant de cliquer sur un lien. Un gestionnaire de mots de passe facilite le repérage des mots de passe réutilisés et la création de nouveaux mots de passe robustes pour chaque compte.

Les anciennes fuites de données de réseaux sociaux restent exploitables à long terme, notamment pour le rapprochement de profils et la réutilisation de mots de passe. Vous ne devriez donc pas vous contenter de changer le mot de passe du service compromis. Dressez la liste des comptes créés au fil des années avec la même adresse e-mail, fermez ceux que vous n’utilisez plus et ne conservez pas dans vos profils les dates de naissance ou les informations personnelles publiques qui ne sont pas nécessaires. Comme les anciens noms d’utilisateur peuvent être recherchés sur différents services, réduisez les informations superflues permettant de relier vos profils publics entre eux.

Du côté des entreprises, les services communautaires similaires devraient utiliser des algorithmes robustes pour le hachage des mots de passe, surveiller régulièrement les journaux d’accès, appliquer le principe de minimisation des données, encadrer les procédures de récupération de compte pour prévenir les abus et informer rapidement les utilisateurs. De votre côté, les principales protections sont un mot de passe unique pour chaque compte, l’authentification à deux facteurs, la vérification de l’historique des sessions et la prudence face aux invitations communautaires suspectes. La principale leçon de ce cas est que même les comptes qui semblent présenter peu de risques, comme ceux des communautés de fans, peuvent avoir de graves conséquences pour la sécurité lorsqu’ils sont reliés à d’autres comptes.

Si le résultat pour Little Monsters sur LeakData est positif, concentrez-vous d’abord sur l’adresse e-mail concernée. Vérifiez l’ancien compte Little Monsters associé à cette adresse, les autres réseaux sociaux où vous utilisez le même nom d’utilisateur et les mots de passe identifiés au cours de la même période. Même si l’empreinte du mot de passe est protégée par bcrypt, ce seul élément ne doit pas vous rassurer : des mots de passe faibles ou réutilisés peuvent toujours être employés dans des tentatives d’accès au compte. Préférez des mots de passe entièrement nouveaux plutôt que d’anciens mots de passe légèrement modifiés.

Pour terminer vos vérifications, examinez la sécurité de votre compte de messagerie, l’historique des connexions aux réseaux sociaux, les informations de récupération, les applications connectées et les messages suspects. Redoublez de vigilance face aux faux messages personnalisés qui utilisent votre date de naissance ou votre nom d’utilisateur. Cette fiche de fuite de données concerne le jeu de données Little Monsters d’environ 995 698 comptes, daté de janvier 2017. Les champs vérifiés sont les adresses e-mail, les noms d’utilisateur, les dates de naissance et les empreintes de mots de passe bcrypt. Vos actions doivent viser à réduire les risques de réutilisation de mots de passe, d’hameçonnage et de rapprochement de profils que ces quatre champs pourraient entraîner.