Compilation de données mail.ru

La compilation contenait des adresses e-mail et des mots de passe. La première partie publiée comprenait environ 4,5 millions d’enregistrements de connexion, dont la plupart des adresses utilisaient le domaine mail.ru. Des données supplémentaires, présentées comme contenant des adresses e-mail et des mots de passe en clair, ont été ajoutées en janvier 2018, portant le total après déduplication à 16 630 988. Il n’est pas établi que toutes les lignes aient été obtenues par la même méthode, que tous les mots de passe aient encore été valides lors de leur publication ou que toutes les adresses aient correspondu à une boîte mail Mail.ru. La prédominance d’un domaine de messagerie ne prouve pas que l’infrastructure de Mail.ru a été compromise ; ces adresses ont pu servir à s’inscrire sur d’autres sites où les identifiants ont ensuite été récupérés. Les paires adresse e-mail–mot de passe en clair ou directement exploitables présentent un risque de prise de contrôle des comptes lorsque les mots de passe sont réutilisés. Les données de paiement, de profil, les numéros de téléphone, les adresses postales et les autres catégories de données personnelles ne sont pas inclus dans le périmètre vérifié de cette fiche.

Le 10 septembre 2014, environ 4,5 millions de paires d’identifiants de connexion et de mots de passe de type Mail.ru sont apparues sur un forum de sécurité russophone. Mail.ru a déclaré que, d’après son analyse, 95% des comptes répertoriés avaient déjà été signalés comme compromis, avaient fait l’objet d’une demande de changement de mot de passe, avaient été soumis à des restrictions d’envoi de messages ou avaient été désactivés. L’entreprise a maintenu que les données pouvaient provenir d’opérations d’hameçonnage visant les utilisateurs, de logiciels malveillants ou de services sans lien avec elle, plutôt que d’une attaque directe contre ses serveurs. La fiche a été ajoutée au catalogue le 12 septembre 2014. En janvier 2018, de nouvelles paires adresse e-mail–mot de passe associées à des adresses mail.ru ont porté le total à 16 630 988 enregistrements, et l’incident a été explicitement signalé comme non vérifié. La date doit donc être comprise comme la période de la première publication d’envergure, et non comme le jour exact d’une intrusion; cette fiche ne doit pas être présentée comme une compromission confirmée d’une base de données de l’entreprise ni comme une liste de paires d’identifiants provenant d’une source unique.

Le risque est le plus élevé pour les personnes qui ont réutilisé un mot de passe figurant dans la compilation sur Mail.ru, un réseau social, un site marchand, un forum ou un autre service. Des attaquants peuvent tester automatiquement une paire adresse e-mail–mot de passe puis, s’ils trouvent une combinaison qui fonctionne, tenter d’accéder aux messages de réinitialisation de mot de passe dans la boîte mail associée. Toutefois, la présence dans cette compilation ne prouve pas que la personne était cliente de Mail.ru, qu’une boîte mail Mail.ru a été consultée ou que le mot de passe provenait des systèmes de Mail.ru. Selon l’analyse de Mail.ru, une très grande partie des comptes de la première partie avaient déjà été signalés, soumis à des restrictions ou rendus inactifs; le risque actuel varie donc d’une ligne à l’autre. La circulation d’une adresse dans des compilations utilisées par des criminels peut néanmoins alimenter les envois de spam, l’hameçonnage, les fausses alertes de sécurité et de futures tentatives de test de mots de passe.

Si vous vous souvenez du mot de passe que vous utilisiez vers 2014, repérez tous les comptes qui utilisent encore ce mot de passe ou une variante similaire. Cessez définitivement d’utiliser cet ancien mot de passe et toutes ses variantes ; l’ajout d’un chiffre ou d’un symbole ne suffit pas à créer un mot de passe suffisamment différent. Donnez la priorité à votre compte de messagerie principal, car l’accès à celui-ci peut mettre en danger les procédures de réinitialisation de mot de passe de nombreux autres services. Vérifiez les sessions que vous ne reconnaissez pas, les règles de transfert, les adresses de récupération et les appareils connectés, puis activez l’authentification multifacteur partout où cela est possible. Ne suivez pas les liens de messages se réclamant de Mail.ru ou d’un autre fournisseur et indiquant « votre mot de passe a fuité », « votre compte va être fermé » ou « vérifiez votre identité ». Accédez au service par vos propres moyens et vérifiez l’alerte dans l’espace de gestion de votre compte. Ne communiquez jamais un mot de passe, un code à usage unique ou une clé de récupération à une personne qui vous appelle ou vous envoie un message, et vérifiez les notifications de session inattendues par un canal distinct.

Utilisez un gestionnaire de mots de passe pour générer un mot de passe aléatoire et unique pour chaque service, afin d’éliminer la réutilisation qui donne aux compilations de sources diverses leur principale valeur. Gardez l’authentification multifacteur activée sur votre messagerie et privilégiez, lorsqu’elles sont disponibles, les clés de sécurité résistantes à l’hameçonnage ou les méthodes reposant sur un appareil. Ne faites pas d’une légère variante d’un ancien mot de passe votre nouveau mot de passe, et évitez les informations biographiques publiques dans les réponses aux questions de récupération de compte. N’oubliez pas que donner à un jeu de données le nom d’un domaine de messagerie ne permet pas d’établir que le fournisseur a été piraté; l’incertitude sur la provenance doit rester prise en compte dans l’évaluation de la sécurité. Fermez les comptes abandonnés, mettez fin aux anciennes sessions et vérifiez régulièrement les informations de récupération. Si une adresse figurait dans une compilation ancienne, elle peut encore être utilisée dans des campagnes d’hameçonnage actuelles; le fait qu’un expéditeur connaisse une adresse réelle ou un ancien mot de passe ne rend pas son message digne de confiance.

Utilisez le champ de recherche sécurisé de cette page pour vérifier chacune des adresses e-mail, actuelles ou anciennes, que vous utilisiez en 2014 ou auparavant. Une correspondance peut indiquer que l’adresse figure dans cette compilation non vérifiée provenant de sources diverses; elle ne prouve pas que Mail.ru a été piraté, que le mot de passe fonctionne encore ou que l’origine de l’enregistrement est connue. Si vous obtenez un résultat, essayez de vous rappeler le mot de passe utilisé à l’époque et remplacez tous les mots de passe identiques ou similaires encore en usage. Vérifiez également l’historique de sécurité de votre boîte mail, les paramètres de récupération et les sessions actives. L’absence de résultat ne constitue pas une garantie absolue : la compilation peut être incomplète, une adresse peut avoir été écrite différemment ou vos données peuvent figurer dans un autre jeu de données. Saisissez uniquement l’identifiant pris en charge dans le champ de recherche; ne transmettez jamais un mot de passe, un code à usage unique ou une clé de récupération à un outil de vérification des fuites de données. Même si une notification affiche un ancien mot de passe, ne suivez pas le lien qu’elle contient et accédez directement au service concerné.