Fuite de données chez Lyrics Mania

Les types de données confirmés dans cette fuite sont les adresses e-mail, les noms d’utilisateur et les mots de passe. Une adresse e-mail seule peut servir à envoyer des messages d’hameçonnage ciblés; le nom d’utilisateur peut aider à relier les profils d’une même personne sur différentes plateformes. Le champ le plus critique est le mot de passe. Un mot de passe en clair permet à un attaquant de tester directement les mêmes identifiants, sans étape supplémentaire de décodage. Si l’utilisateur a également employé ce mot de passe pour ses comptes sur les réseaux sociaux, les plateformes de jeux, les services de messagerie, les sites d’achat ou les services financiers, le risque dépasse largement le service musical concerné.

Cette combinaison de données peut aussi rendre les messages d’hameçonnage plus crédibles. Un attaquant peut envoyer une fausse alerte de sécurité, une fausse demande de réinitialisation du mot de passe ou une fausse notification d’abonnement faisant référence à l’ancien compte Lyrics Mania de l’utilisateur, à ses goûts musicaux ou à son adresse e-mail. Le nom d’utilisateur et l’adresse e-mail sont également utiles pour rechercher automatiquement des comptes et mener des attaques visant à deviner les mots de passe. Ainsi, même si le compte est ancien, cette fuite reste aujourd’hui un avertissement de sécurité pertinent, en particulier pour les utilisateurs qui réemploient le même mot de passe depuis des années.

Le périmètre confirmé de la fiche Lyrics Mania est une fuite de données de comptes du site datée du 21 décembre 2017. Le nombre de comptes uniques concernés est de 109 202. La fiche a été ajoutée aux listes de fuites de données confirmées le 15 janvier 2018. Les catégories de données confirmées se limitent aux adresses e-mail, aux noms d’utilisateur et aux mots de passe. La description ne doit donc pas laisser entendre que des données de carte de paiement, des adresses, des numéros de téléphone, des noms réels, des dates de naissance, des identifiants d’appareil ou des données de localisation sont présents. Le procédé technique à l’origine de l’incident ne doit pas non plus être présenté comme un fait confirmé.

Les mots de passe en clair présentent un risque de prises de contrôle de comptes en chaîne pour les utilisateurs qui réemploient leurs mots de passe. Toutefois, il ne faut pas élargir inutilement le périmètre de cette fiche. Une correspondance sous le nom Lyrics Mania ne signifie pas que les données bancaires, une pièce d’identité ou le numéro de téléphone de l’utilisateur ont été divulgués lors de cet incident. Les mesures à prendre doivent viser à réduire les risques liés à la sécurité des mots de passe et aux fraudes par e-mail.

Les personnes les plus exposées sont celles qui ont créé un compte sur le site web ou l’application mobile de Lyrics Mania avant 2017 et qui ont utilisé le même mot de passe sur d’autres services. La probabilité que des attaquants testent ces identifiants ailleurs augmente, notamment si le même mot de passe a été utilisé pour des comptes de messagerie, des réseaux sociaux, des plateformes de jeux, des sites d’achat ou d’anciens forums. Les personnes qui utilisent encore leur ancien mot de passe, qui n’utilisent pas de gestionnaire de mots de passe ou qui ne vérifient pas régulièrement l’historique de leurs comptes peuvent être davantage touchées par cette fuite.

Les personnes qui utilisent des applications musicales en lien avec les réseaux sociaux doivent également faire preuve d’une vigilance accrue. Les noms d’utilisateur et les adresses e-mail peuvent servir à établir que des comptes sur différentes plateformes appartiennent à la même personne. Cela peut rendre plus crédibles les tentatives de fraude reposant sur de fausses campagnes musicales, de fausses alertes d’abonnement, de faux messages d’assistance ou de faux contenus d’artistes. Par ailleurs, les personnes qui continuent d’utiliser une ancienne adresse e-mail comme adresse principale, professionnelle ou personnelle, peuvent recevoir des messages ciblés même des années plus tard.

Si vous constatez une correspondance avec Lyrics Mania, assurez-vous d’abord de ne plus utiliser le mot de passe concerné nulle part. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, sur d’autres comptes, choisissez pour chacun d’eux un nouveau mot de passe unique, long et robuste. Procédez par ordre de priorité : compte de messagerie, comptes financiers, réseaux sociaux, comptes sur les sites d’achat, puis comptes de stockage dans le cloud. Le compte de messagerie est particulièrement critique, car la plupart des services y envoient les messages de réinitialisation du mot de passe. Vérifiez l’historique des connexions, l’adresse de récupération, les coordonnées téléphoniques associées au compte et les paramètres de transfert de votre compte de messagerie.

Activez la validation en plusieurs étapes sur les services qui la proposent. Une validation au moyen d’une application ou d’une clé de sécurité offre une protection plus forte que les SMS. Méfiez-vous des alertes de réinitialisation du mot de passe, d’abonnement, de droits d’auteur, de campagne promotionnelle ou de paiement envoyées au nom de Lyrics Mania ou d’un service musical similaire. Au lieu de cliquer sur le lien, rendez-vous directement sur le service concerné depuis votre navigateur. Ne donnez pas suite aux messages qui vous demandent votre ancien mot de passe, vous incitent à télécharger des fichiers ou créent un sentiment d’urgence pour vous pousser à agir immédiatement. Si vous recevez une notification de connexion suspecte, changez immédiatement votre mot de passe et mettez fin aux sessions actives.

Cette fiche montre que la réutilisation des mots de passe est l’un des risques les plus importants. À long terme, utiliser un mot de passe unique pour chaque compte empêche qu’une fuite se propage à d’autres comptes. Un gestionnaire de mots de passe permet de stocker facilement des mots de passe longs et aléatoires sans avoir à les mémoriser. Fermer les comptes anciens, inutilisés ou auxquels vous ne faites plus confiance réduit également les risques liés aux données. Même si un service musical ou de divertissement semble présenter peu de risques, une petite fuite peut causer des dommages importants si le même mot de passe est utilisé pour d’autres comptes critiques.

Utiliser des adresses e-mail distinctes selon les usages apporte également une protection durable. Une adresse e-mail dédiée aux abonnements courants, aux campagnes promotionnelles et aux services de divertissement réduit la valeur du compte personnel principal. Laissez les notifications de sécurité activées pour vos comptes et passez régulièrement en revue vos anciens abonnements. Lorsque vous changez un mot de passe, modifier simplement le dernier caractère ou ajouter quelques caractères à l’ancien ne suffit pas : vous devez choisir un mot de passe entièrement différent pour chaque service. Cette habitude réduit considérablement le risque de prise de contrôle de compte que d’anciennes fuites de données peuvent encore entraîner aujourd’hui.

Une correspondance dans la fiche Lyrics Mania indique que l’adresse e-mail, le nom d’utilisateur ou le mot de passe de l’utilisateur sur ce service a pu être concerné par l’incident de 2017. Cette correspondance ne signifie pas, à elle seule, que des données de paiement ou une pièce d’identité ont été divulguées. Vous devez évaluer ce résultat en tenant compte de vos anciens mots de passe. Il peut être difficile de se souvenir de tous les services sur lesquels un même mot de passe a été utilisé. Une approche plus sûre consiste donc à commencer par les comptes critiques, à remplacer les mots de passe réutilisés et à activer la validation en plusieurs étapes.

Recherchez les anciens messages d’inscription dans votre messagerie, dressez la liste des services sur lesquels vous avez utilisé un nom d’utilisateur similaire, puis déconnectez-vous des comptes que vous jugez à risque et définissez un nouveau mot de passe. Examinez ensuite avec davantage d’attention les messages portant sur la musique, les abonnements, les droits d’auteur, le blocage de compte ou les notifications de sécurité. Pour cette fiche, la mesure la plus adaptée consiste à cesser de réutiliser les mots de passe et à protéger solidement votre compte de messagerie.