Fuite de données chez MangaDex

Les adresses e-mail figurant dans les données d’inscription de MangaDex peuvent servir à envoyer des messages d’hameçonnage ciblés et de fausses alertes concernant les comptes. Les noms d’utilisateur facilitent le rapprochement de différents profils lorsque le même pseudonyme est utilisé sur d’autres sites. Les adresses IP ne donnent pas une adresse de domicile précise, mais elles peuvent fournir des indices sur la zone géographique approximative de connexion, le fournisseur d’accès à Internet et l’historique des sessions. En combinant ces champs, des attaquants peuvent rendre plus convaincants leurs messages d’assistance, leurs alertes de sécurité concernant les comptes ou leurs tentatives d’usurpation d’identité au sein de la communauté.

Le champ des mots de passe mérite une attention particulière. Les informations vérifiées indiquent que les mots de passe sont hachés avec bcrypt. Cette méthode offre une meilleure protection que le stockage de mots de passe en clair en cas de fuite, mais les mots de passe faibles, courts ou déjà compromis restent à risque. Si le même mot de passe est utilisé pour d’autres comptes, des attaquants peuvent tenter de se connecter à d’autres services en utilisant des combinaisons d’adresses e-mail et de noms d’utilisateur. Le risque ne doit donc pas être considéré comme limité au seul compte MangaDex.

Le périmètre vérifié comprend 2 987 329 comptes concernés, une date de fuite au 22 mars 2021, une date d’ajout au 25 avril 2021 et quatre types de données : adresses e-mail, adresses IP, noms d’utilisateur et empreintes de mots de passe. Les données de carte de paiement, numéros de téléphone, adresses postales, noms réels, données d’identification (ID), dates de naissance et données de santé ne figurent pas parmi les champs vérifiés pour cette fiche. Les risques à communiquer aux utilisateurs doivent donc porter sur la sécurité des comptes, le rapprochement de profils, l’hameçonnage et la réutilisation des mots de passe.

Les circonstances de l’incident chez MangaDex se sont précisées lorsqu’il a été établi que la base de données des utilisateurs avait circulé parmi des acteurs malveillants après l’attaque. Des sources vérifiées indiquent que les noms d’utilisateur des membres, leurs adresses e-mail, leurs dernières adresses IP connues et les champs contenant leurs mots de passe hachés de manière sécurisée ont pu être exposés. Il ne faut toutefois pas en conclure que le mot de passe réel de chaque utilisateur pouvait être lu directement. La démarche la plus appropriée consiste à changer tous les mots de passe réutilisés, en tenant compte de la possibilité que les mots de passe puissent être retrouvés à partir de leurs empreintes.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte MangaDex sur d’autres services. Les personnes qui créent des comptes sur des forums, des plateformes de jeux, des services de streaming, des réseaux sociaux ou des services de messagerie avec la même adresse e-mail et le même nom d’utilisateur augmentent également le risque de rapprochement entre leurs profils. Sur les plateformes communautaires, il est courant de conserver longtemps le même pseudonyme, ce qui peut aider des attaquants à relier différents comptes à une seule personne. Les mots de passe anciens et courts, ceux qui contiennent des mots du dictionnaire et ceux qui ont déjà été divulgués ailleurs présentent notamment un risque élevé.

Pour les utilisateurs dont l’adresse IP figure dans les données, le risque concerne davantage la vie privée et le ciblage. Une adresse IP ne révèle pas à elle seule toute l’identité d’une personne, mais, associée à une adresse e-mail et à un nom d’utilisateur, elle peut donner des indices sur ses habitudes de connexion. Les personnes actives dans des communautés consacrées aux mangas ou à des centres d’intérêt similaires peuvent être ciblées par de faux messages de modérateurs, de fausses demandes de vérification de compte ou des messages privés contenant des liens. Il convient donc d’examiner avec attention non seulement les e-mails reçus, mais aussi les notifications et les messages privés sur les comptes communautaires.

Si votre compte MangaDex apparaît dans cette fiche, commencez par remplacer le mot de passe utilisé sur MangaDex et sur tous les autres comptes où vous l’avez réutilisé par un mot de passe unique pour chaque compte. La meilleure méthode consiste à utiliser un gestionnaire de mots de passe pour générer des mots de passe longs et aléatoires pour chaque service. Vérifiez en priorité votre compte de messagerie, vos comptes sur les réseaux sociaux, vos comptes de jeux et les services liés à des moyens de paiement. Examinez également l’historique des connexions, les sessions inconnues, les adresses de récupération récemment ajoutées et les notifications de sécurité inattendues sur ces comptes.

Sur les services qui proposent la vérification en deux étapes, activez cette protection. Le compte de messagerie est particulièrement important, car de nombreux services utilisent l’e-mail pour réinitialiser les mots de passe. Plutôt que de cliquer directement sur des avertissements de sécurité présentés au nom de MangaDex ou de communautés similaires, ouvrez vous-même le site concerné et vérifiez l’état de vos connexions. Ne répondez pas aux demandes de mots de passe, de codes de récupération ou d’informations de sécurité supplémentaires reçues par message privé ou par e-mail.

Pour vous protéger à long terme, il est utile de choisir des noms d’utilisateur, des adresses e-mail et des mots de passe distincts selon les usages. Vous pouvez réserver votre adresse e-mail principale aux services essentiels et utiliser une adresse séparée pour les comptes liés aux communautés et aux loisirs. Ne pas employer le même pseudonyme partout rend le rapprochement entre différents profils plus difficile. Un gestionnaire de mots de passe facilite le repérage des mots de passe réutilisés et la génération de mots de passe robustes pour chaque compte.

Passez régulièrement en revue vos anciens comptes communautaires. Fermez les comptes inutilisés, ne conservez pas d’informations personnelles superflues sur les comptes actifs et maintenez vos méthodes de connexion à jour. Comme des champs tels que l’adresse IP et le nom d’utilisateur peuvent servir à rapprocher des profils même des années plus tard, les conséquences d’anciennes fuites ne disparaissent pas complètement avec le temps. Après un incident comme celui de MangaDex, un changement ponctuel de mot de passe ne doit donc pas être considéré comme suffisant : de bonnes habitudes de sécurité des comptes doivent être adoptées durablement.

Si vous trouvez une correspondance dans la fuite de MangaDex, commencez par dresser la liste des comptes créés avec votre adresse e-mail concernée. Déterminez ensuite sur quels services vous avez utilisé le même mot de passe ou un mot de passe similaire, puis changez les mots de passe en commençant par les comptes les plus importants. Si vous utilisez votre nom d’utilisateur sur d’autres plateformes, évaluez si le rapprochement de ces profils présente un risque pour votre vie privée. Mettez fin aux anciennes sessions, actualisez vos options de récupération et gardez les alertes de sécurité activées.

Cette fiche ne doit pas être interprétée comme faisant état d’une fuite de noms réels, de données de carte de paiement ou d’adresses postales. Le risque vérifié repose sur l’association d’adresses e-mail, d’adresses IP, de noms d’utilisateur et d’empreintes de mots de passe. Pour les utilisateurs dont les données correspondent à cette fiche, les mesures les plus adaptées consistent à adopter des mots de passe uniques, à renforcer la sécurité de leur compte de messagerie et à se méfier des faux messages d’assistance. Bien que la fuite de MangaDex soit ancienne, le risque peut encore persister aujourd’hui si le même mot de passe a été réutilisé pendant des années.