Fuite de données de Lumin PDF en 2019

Le jeu de données vérifié contenait des jetons d’authentification, des adresses e-mail, des genres, des noms, des mots de passe, des langues parlées et des noms d’utilisateur. Les 15 453 048 comptes uniques correspondent au jeu de données consultable après déduplication; l’archive partagée publiquement aurait contenu environ 24,3 millions de lignes. Ces deux chiffres ne doivent donc pas être utilisés indifféremment. La plupart des entrées contenaient un jeton d’accès associé à la connexion de Lumin PDF à Google Drive, tandis que 118 746 comptes créés directement auprès de Lumin contenaient des empreintes de mots de passe bcrypt. Il ne faut pas supposer que chaque ligne comprenait à la fois un mot de passe et un jeton. L’entreprise a déclaré que les jetons Google divulgués avaient expiré au moment de l’incident et ne permettaient pas d’accéder aux documents ou aux signatures des utilisateurs. Il s’agissait d’une affirmation de l’entreprise, que le média ayant rapporté l’incident n’a pas vérifiée de manière indépendante.

En avril 2019, une base de données appartenant à Lumin PDF aurait été laissée accessible sur Internet sans protection par mot de passe, et des données en auraient été extraites. En septembre 2019, des informations sur les utilisateurs ont été proposées au téléchargement sur un forum criminel; des journalistes en ont obtenu une copie et en ont vérifié l’authenticité auprès de plusieurs utilisateurs de Lumin PDF. Après la publication du premier article, Lumin PDF a mené une enquête et confirmé que les données divulguées comprenaient une partie des données de ses utilisateurs. La base de données exposée contenait environ 24,3 millions de lignes, tandis que le décompte de référence après déduplication est de 15 453 048. L’entreprise a maintenu que les jetons d’accès Google n’étaient pas valides; le média a indiqué ne pas pouvoir vérifier cette affirmation de manière indépendante et a précisé que Google enquêtait. La durée exacte de l’exposition et le fait que toutes les lignes aient ou non été récupérées au même moment n’ont pas été établis. Aucun mécanisme supplémentaire ne doit donc être déduit de ces informations.

Les personnes ayant créé un compte directement auprès de Lumin PDF avec un mot de passe sont exposées à un risque de prise de contrôle de leur compte, surtout si elles ont réutilisé ce mot de passe pour leur messagerie ou un autre service. Bcrypt ralentit les tentatives de découverte de mots de passe hors ligne, mais ne peut pas rendre impossibles à deviner les mots de passe courts, courants ou déjà divulgués lors d’une fuite. Pour les utilisateurs qui se sont connectés avec Google, le risque dépend de la validité du jeton d’accès au moment de l’incident et des autorisations qui lui étaient associées. Même si l’entreprise a déclaré que les jetons avaient expiré, vérifier les accès accordés aux applications tierces reste une mesure prudente. Les noms, adresses e-mail, noms d’utilisateur, genres et paramètres de langue peuvent servir à rendre crédibles des messages concernant le partage de documents, des demandes de signature, des factures, des invitations à collaborer ou la sécurité des comptes. Une correspondance d’adresse e-mail ne prouve pas qu’un mot de passe a été retrouvé, qu’un compte Google a fait l’objet d’un accès ou qu’un document PDF a été consulté.

Si vous vous êtes inscrit directement auprès de Lumin PDF avec un mot de passe, changez-le et modifiez les identifiants de tous les autres comptes utilisant le même mot de passe ou un mot de passe similaire. Protégez votre boîte de messagerie principale avec un mot de passe unique et une authentification multifacteur, car la plupart des messages de réinitialisation de mot de passe y sont envoyés. Dans votre compte Google, ouvrez les autorisations des applications tierces, vérifiez l’étendue des accès accordés à Lumin PDF et supprimez-les si vous n’utilisez plus le service. Si vous continuez à l’utiliser, révoquer l’autorisation puis rétablir la connexion depuis l’application officielle peut contribuer à invalider un ancien jeton. Examinez les sessions Google, les événements de sécurité et les appareils connectés que vous ne reconnaissez pas. Ne suivez pas de liens inattendus concernant des documents partagés, des signatures électroniques, des factures ou des limites de stockage; accédez à Lumin PDF et à Google Drive depuis leurs domaines connus. Ne communiquez jamais de mot de passe, de jeton d’accès ou de code à usage unique lors d’un appel ou en réponse à un message du support.

Utilisez un gestionnaire de mots de passe pour générer un mot de passe long et unique pour chaque service, afin que la récupération d’un mot de passe à partir d’une empreinte bcrypt ne compromette pas d’autres comptes. Privilégiez les clés d’accès ou une authentification multifacteur résistante à l’hameçonnage pour votre messagerie et vos services de stockage dans le cloud. Vérifiez régulièrement les autorisations des applications tierces dans vos comptes Google, Microsoft et autres comptes similaires; supprimez les connexions inutilisées et n’accordez que les autorisations strictement nécessaires. Examinez les paramètres d’accès, les autorisations des liens et les listes de collaborateurs des documents partagés. Les organisations doivent protéger les bases de données accessibles depuis Internet au moyen d’une authentification, de listes d’autorisation réseau et de pare-feu, conserver les sauvegardes dans des périmètres d’accès distincts et effectuer des analyses des ressources exposées à l’extérieur. Les jetons OAuth doivent disposer de privilèges minimaux, avoir une durée de validité courte et être renouvelés régulièrement, avec un mécanisme de révocation en masse après un incident. Ne faites pas confiance à un expéditeur simplement parce qu’il connaît un véritable nom de fichier ou une information sur un utilisateur.

Utilisez le champ de recherche sécurisé de cette page pour vérifier toutes les adresses e-mail, actuelles et anciennes, que vous avez pu utiliser avec Lumin PDF. Une correspondance signifie que l’adresse figure parmi les 15 453 048 comptes uniques vérifiés; elle ne permet pas de savoir si la ligne contenait une empreinte de mot de passe bcrypt ou un jeton d’accès Google, ne prouve pas qu’un jeton était valide et n’indique pas que des documents ont été exposés. Si vous obtenez un résultat, déterminez si vous utilisiez un mot de passe pour vous connecter directement, mettez fin à toute réutilisation de ce mot de passe encore en cours et vérifiez les accès accordés aux applications tierces dans votre compte Google. Si vous avez réutilisé le même nom d’utilisateur ailleurs, restez vigilant face à l’hameçonnage et au recoupement de profils. Ne saisissez jamais de mot de passe, de jeton d’accès, de code à usage unique ou de contenu de document dans le champ de recherche. L’absence de résultat ne constitue pas une garantie absolue : une autre adresse, une entrée absente de ce jeu de données ou un autre incident peuvent encore vous concerner. Accédez directement au domaine connu du service plutôt que d’utiliser les liens contenus dans des alertes suspectes concernant des documents ou des signatures.