Fuite de données chez MangaToon

Les adresses e-mail, les noms et les noms d’utilisateur peuvent faciliter des tentatives d’hameçonnage ciblé ou de rapprochement entre comptes, tandis que les données sur le genre, les avatars et les identités associées aux profils de réseaux sociaux peuvent rendre les messages plus personnalisés. Il a été confirmé que les mots de passe étaient stockés sous forme d’empreintes MD5 salées. Le salage empêche des mots de passe identiques de produire la même empreinte, mais MD5 n’est pas un algorithme moderne de hachage de mots de passe conçu pour être lent : les mots de passe faibles restent donc vulnérables aux essais de mots de passe hors ligne. Les jetons d’authentification obtenus lors de connexions via un réseau social ne sont pas des mots de passe, et leur durée de validité n’a pas été divulguée. Toutefois, les jetons encore actifs au moment du vol auraient pu présenter un risque distinct pour les sessions. La catégorie des profils de réseaux sociaux désigne les identités des comptes; elle ne permet pas d’établir que des messages privés ou des mots de passe de réseaux sociaux ont été exposés.

La date de référence de l’incident est le 13 mai 2022. Selon les comptes rendus techniques, l’attaquant aurait accédé à un serveur Elasticsearch de MangaToon à l’aide d’un identifiant d’accès facile à deviner, et le mot de passe aurait été littéralement « password ». Cet identifiant d’accès au serveur aurait été modifié après que l’attaquant a averti l’entreprise, mais plusieurs tentatives de prise de contact avec celle-ci pour obtenir une réponse destinée aux utilisateurs sont restées sans suite. Des échantillons de comptes transmis à un média ont également été vérifiés, et leur validité sur la plateforme a été confirmée. Plus de 23 millions d’enregistrements ont été ajoutés à un répertoire de fuites de données vérifiées en juillet 2022. Les informations publiques ne permettent pas d’établir combien de temps la base de données est restée accessible, si les jetons étaient actifs à ce moment-là ou si chaque enregistrement contenait tous les champs. Ces éléments ne doivent donc pas être présentés comme certains.

Les personnes qui ont réutilisé leur mot de passe MangaToon ailleurs et celles qui se sont connectées via un compte de réseau social sont les plus directement exposées aux risques. Un mot de passe récupéré peut servir à des tentatives de bourrage d’identifiants visant des services de messagerie, des réseaux sociaux ou d’autres services de divertissement qui acceptent les mêmes identifiants. Pour les utilisateurs dont les jetons de connexion via un réseau social étaient présents, un simple changement de mot de passe peut ne pas suffire; les autorisations des applications connectées et les sessions actives doivent également être examinées. L’association d’un nom, d’une adresse e-mail, du genre, d’un avatar et d’une identité de profil de réseau social peut rendre plus convaincants de faux messages d’assistance ou des promotions liées à MangaToon. Il ne faut pas supposer que chaque champ figure dans l’ensemble des 23 040 238 enregistrements, ni que les jetons sont encore valides aujourd’hui. Les données de paiement et les adresses postales ne font pas partie du périmètre vérifié; les allégations de fraude financière ne peuvent donc pas être directement attribuées à cet incident.

Remplacez votre mot de passe MangaToon par un mot de passe long et unique, et créez des identifiants distincts pour chaque service sur lequel vous avez utilisé le même mot de passe ou un mot de passe similaire. Activez l’authentification multifacteur sur le compte de messagerie et le compte de réseau social associés. Si vous vous êtes connecté via un réseau social, examinez la liste des applications connectées chez ce fournisseur, révoquez l’accès de MangaToon, envisagez de rétablir la connexion uniquement depuis l’application ou le site officiel, mettez fin aux sessions existantes et examinez les connexions que vous ne reconnaissez pas. Ne suivez pas les liens de messages inattendus liés à MangaToon qui proposent une réinitialisation, des jetons gratuits, un abonnement ou le déblocage de contenus. Si l’adresse e-mail du profil, le nom d’utilisateur, l’avatar ou le compte de réseau social associé a été modifié sans votre autorisation, contactez l’assistance par un canal officiel. Ne saisissez jamais de mot de passe ni de valeur de jeton dans un formulaire de recherche de fuites de données ou sur un site tiers.

Un gestionnaire de mots de passe qui génère un mot de passe différent pour chaque service empêche une ancienne fuite d’affecter d’autres comptes. La connexion via un réseau social peut être pratique, mais il convient de faire régulièrement le tri dans les listes d’applications connectées et de révoquer les sessions inutilisées. Comme la messagerie sert à récupérer l’accès à de nombreux comptes, protégez-la avec un mot de passe unique aussi robuste que possible et une authentification multifacteur. Si vous n’avez plus besoin de votre compte MangaToon, renseignez-vous sur sa suppression ou sa fermeture par les canaux officiels. Pour les exploitants de services, les protections durables consistent notamment à ne pas exposer les interfaces d’administration sur l’Internet public, à utiliser des identifiants de service robustes et uniques, à restreindre l’accès réseau, à appliquer des méthodes modernes de hachage des mots de passe, à limiter la durée de validité des jetons, à surveiller les anomalies et à mettre en œuvre une procédure claire de notification des incidents.

Recherchez votre adresse e-mail dans LeakData pour voir si elle figure dans les données de la fuite de MangaToon. Ne recherchez qu’une adresse qui vous appartient ou que vous êtes autorisé à vérifier. Un résultat positif signifie que l’adresse apparaît dans le jeu de données vérifié; il ne prouve pas que le mot de passe a été récupéré, qu’un jeton de réseau social est encore valide ou qu’un tiers a pris le contrôle du compte. L’absence de résultat ne doit pas vous conduire à ignorer un avis de sécurité fiable reçu par un autre canal. En cas de résultat positif, remplacez d’abord les mots de passe réutilisés, puis examinez les applications de réseaux sociaux connectées, les sessions actives et les paramètres de récupération du compte.