Exposition présumée de données chez Mary Evans Picture Library

Avant de créer la fiche Mary Evans Picture Library, les fiches existantes ont été examinées pour rechercher des correspondances portant sur le titre, le nom de domaine, un nom de marque similaire, la date de l’événement et le nombre d’enregistrements. Aucune fiche ne correspondant au même événement, celui-ci a fait l’objet d’une fiche distincte. Les fiches portant des noms similaires, mais concernant d’autres domaines ou d’autres événements, n’ont pas été prises en compte dans cette décision.

Des écarts peuvent apparaître entre le nombre d’enregistrements figurant dans les listes examinées et le nombre d’éléments vérifiables. Ils peuvent s’expliquer par des différences entre les lignes brutes, les comptes uniques, les adresses e-mail en double, les enregistrements nettoyés, les lignes de forums, les lignes de profils ou les jeux de données reconditionnés. Cette page retient comme référence le chiffre de 34 708, constamment étayé au même titre que les types de données, plutôt que le nombre le plus élevé affiché.

Mary Evans Picture Library est une plateforme considérée dans le contexte d’un fonds professionnel d’archives visuelles historiques basé à Londres. Les comptes donnant accès aux archives visuelles et aux contenus pédagogiques ont pu être créés avec des adresses e-mail de chercheurs, d’éditeurs ou d’institutions, ce qui peut aussi laisser envisager une réutilisation des mots de passe au sein de ces institutions.

Dans cet incident, la présence d’adresses e-mail et de mots de passe en clair était étayée. Un mot de passe en clair permet à un attaquant d’essayer la même combinaison sur d’autres services sans avoir à le casser.

Le risque lié à l’incident de Mary Evans Picture Library est plus élevé que celui d’une simple fuite d’adresses e-mail, car des mots de passe en clair ont été trouvés. Ces données réduisent le temps nécessaire aux essais des attaquants, facilitent les tentatives de connexion automatisées sur d’autres services où le même mot de passe est utilisé et rendent les messages de réinitialisation de mot de passe plus convaincants.

Une adresse e-mail seule peut sembler constituer une donnée personnelle de portée limitée. Toutefois, lorsqu’elle est associée à un nom d’utilisateur, une adresse IP, un numéro de téléphone, un nom complet, une date de naissance ou des informations relatives aux mots de passe, elle devient une ressource précieuse pour mener une attaque. Si l’utilisateur emploie la même adresse e-mail pour ses comptes professionnels, ses achats, ses forums, ses jeux, ses services financiers ou ses réseaux sociaux, les conséquences peuvent dépasser la plateforme concernée.

Même si cet incident est ancien, il reste pertinent du point de vue de la sécurité. Une part importante des utilisateurs réutilise d’anciens modèles de mots de passe en n’y apportant que de petites modifications. Une ancienne fuite comme celle de Mary Evans Picture Library peut donc servir à deviner des mots de passe, à mener des attaques par bourrage d’identifiants et à tenter des opérations d’hameçonnage ciblé, même des années plus tard.

La première étape consiste, pour les utilisateurs, à se rappeler quelle adresse e-mail et quel mot de passe ils ont pu utiliser par le passé sur Mary Evans Picture Library ou www.maryevans.com. Si des mots de passe de la même famille ont été utilisés sur d’autres comptes, il ne suffit pas de modifier celui du site concerné : tous les mots de passe réutilisés doivent être remplacés par des mots de passe uniques et aléatoires.

L’utilisation d’un gestionnaire de mots de passe est l’une des mesures les plus efficaces après cet incident. Créer un mot de passe distinct pour chaque site empêche qu’une seule fuite se répercute en chaîne sur d’autres comptes. Il convient également de revoir les anciens mots de passe enregistrés dans le navigateur et d’éliminer ceux qui sont faibles ou réutilisés.

L’authentification à deux facteurs est particulièrement prioritaire pour les comptes de messagerie, les gestionnaires de mots de passe, les comptes financiers, les profils sur les réseaux sociaux, les comptes de recherche d’emploi et les panneaux d’administration. L’authentification au moyen d’une application ou d’une clé de sécurité matérielle offre une protection plus robuste que l’authentification par SMS.

Il convient de vérifier les règles de transfert des e-mails, les adresses de récupération, les applications connectées, la liste des appareils de confiance et les sessions récentes du compte de messagerie. Même si l’attaquant ne peut pas accéder directement au compte Mary Evans Picture Library, il peut tenter d’exploiter les procédures de réinitialisation de mot de passe d’autres services par l’intermédiaire de la messagerie.

Dans le cadre de l’hameçonnage, le nom de l’ancien service, le nom d’utilisateur, le secteur d’activité, le pays, un loisir ou la date d’inscription peuvent être exploités. Les utilisateurs devraient saisir eux-mêmes l’adresse plutôt que cliquer directement sur les liens reçus, ne pas ouvrir de pièces jointes sans les avoir vérifiées et se méfier des messages qui poussent à agir dans l’urgence.

Le risque doit aussi être évalué pour les utilisateurs en entreprise. Si un salarié a utilisé son adresse e-mail professionnelle pour un compte apparemment personnel, le même mot de passe peut être essayé sur les systèmes de l’entreprise. Les analyses de sécurité par domaine, l’authentification multifacteur et les contrôles permettant de détecter la réutilisation des mots de passe sont donc importants.

Pour les responsables de sites, la principale leçon concerne le stockage des mots de passe et la minimisation des données. Le stockage en clair ou l’utilisation de formats de hachage rapidement cassables affaiblit directement la sécurité des utilisateurs. Les systèmes modernes devraient employer des méthodes de dérivation de mots de passe robustes, avec sel et volontairement lentes. Les anciens formats de hachage devraient être progressivement mis à jour lors de la connexion des utilisateurs.

Les sauvegardes, les environnements de test, les fichiers d’export, les anciens logiciels de forum, les panneaux d’administration et les droits d’accès superflus devraient faire l’objet d’audits réguliers. De nombreuses fuites de données proviennent non pas de la partie visible de l’application principale, mais de systèmes auxiliaires oubliés ou de comptes disposant de droits étendus.

Dans les institutions dépourvues de plan de réponse aux incidents, la notification des utilisateurs, la réinitialisation des mots de passe, l’examen des journaux et la vérification des systèmes connectés prennent du retard. Il faut définir à l’avance les systèmes à surveiller, les enregistrements à conserver, les utilisateurs à informer et les sauvegardes à examiner.

Bien que la ligne consacrée à MaryEvans.com affiche environ 37 mille enregistrements, le chiffre directement étayé de 34 708 a été retenu. Ce choix prudent vise à ne pas exagérer l’écart entre le nombre de lignes brutes et le nombre d’éléments uniques.

Bien que le site ait renvoyé le code 403 lors de la dernière vérification, le domaine a répondu depuis une infrastructure active; la fiche n’a donc pas été marquée comme inactive. Les utilisateurs devraient vérifier leurs paramètres de mot de passe et de compte s’ils peuvent y accéder.

L’utilisation d’une adresse e-mail professionnelle étant courante pour les comptes d’archives visuelles, les institutions devraient également examiner séparément les utilisateurs dont l’adresse correspond à leurs propres noms de domaine.

Un compte d’archives dont le mot de passe est en clair peut conduire à des essais du même mot de passe sur des services de stockage dans le cloud, de messagerie ou des outils de publication.

Une correspondance a été établie afin d’assurer un affichage cohérent sur la page d’enregistrement de l’image du logo de Mary Evans Picture Library.

Les types de données non vérifiés ont délibérément été exclus de cette fiche. Présenter clairement les champs étayés est plus utile à la confiance des utilisateurs que d’allonger la liste des catégories de données. L’objectif des pages consacrées aux fuites de données n’est pas d’impressionner par leur gravité apparente, mais d’expliquer clairement le périmètre exact et les mesures de sécurité applicables.

Cette page a été rédigée pour fournir des informations claires et pratiques sous différentes appellations, telles que fuite de données de Mary Evans Picture Library, fuite de données de www.maryevans.com, fuite de mots de passe de Mary Evans Picture Library et données des utilisateurs de Mary Evans Picture Library. Le texte explique les éléments vérifiés et les mesures de sécurité concrètes.

En consultant cette fiche, les utilisateurs devraient évaluer non seulement leur compte sur la plateforme concernée, mais aussi les autres comptes qu’ils ont ouverts avec la même adresse e-mail. Les comptes sur lesquels d’anciens mots de passe sont réutilisés constituent notamment les premières cibles des attaquants. Fermer les anciens comptes permet également de réduire le risque à long terme.

Pour limiter la réutilisation des mots de passe, les nouveaux mots de passe ne devraient contenir ni noms de marques, ni années de naissance, ni noms d’utilisateur, ni noms d’équipes, ni loisirs, ni villes, ni ajouts faciles à deviner. Ajouter un petit nombre ou un caractère spécial à la fin d’un mot de passe ne le rend pas sûr : les outils des attaquants testent rapidement ces modèles.

La liste de vérification pour la sécurité des comptes est claire : changer l’ancien mot de passe, mettre à jour tous les comptes utilisant le même mot de passe, activer l’authentification à deux facteurs, vérifier les informations de récupération de la messagerie, fermer les sessions inconnues et saisir directement l’adresse du site plutôt que suivre les liens de messages suspects.

Les équipes de sécurité devraient examiner cette fiche en recherchant les adresses e-mail correspondant aux noms de domaine utilisés par les salariés. Les adresses professionnelles employées sur d’anciens comptes de forums, d’achats, de services financiers ou de communautés peuvent enrichir les listes de cibles des attaquants.

La minimisation des données est essentielle dans ce type d’incident. Il convient de ne pas collecter de champs de profil inutiles, de supprimer les comptes inactifs selon des politiques de conservation raisonnables, de restreindre l’accès aux champs sensibles et de renforcer la surveillance des opérations d’export de données.

Plutôt que de paniquer, les utilisateurs doivent remettre leurs comptes en ordre. Fermer les comptes anciens et oubliés, supprimer les inscriptions inutiles, mettre à jour les adresses de récupération et activer les notifications de connexion sur les comptes importants apportent une protection pérenne.

Le niveau de risque de cette page a été classé comme critique, en tenant compte du nombre de comptes touchés, de la nature des données relatives aux mots de passe, de la possibilité d’exploiter les catégories de données pour prendre le contrôle de comptes et de la présence éventuelle d’identifiants réutilisables dans l’incident. Le niveau critique ne signifie pas qu’une utilisation malveillante est avérée, mais qu’une action rapide de l’utilisateur est nécessaire.

En conclusion, cette fiche de Mary Evans Picture Library décrit une seule fuite de données touchant 34 708 comptes en août 2018 et comprenant des champs d’adresses e-mail et de mots de passe en clair. Il est conseillé aux utilisateurs d’employer des mots de passe uniques, d’activer la vérification en deux étapes, de contrôler les paramètres de sécurité de leur messagerie et de surveiller les alertes de connexion suspecte.

Le nombre d’enregistrements, le titre et le domaine étant évalués ensemble pour la fiche Mary Evans Picture Library, les éléments de listes ambigus circulant sous le même nom n’ont pas été repris sur cette page. La fiche présentée à l’utilisateur se limite au domaine vérifié et à la période de l’événement.

Il est particulièrement important de présenter simplement les catégories de données, car l’ajout de champs non étayés fausse l’évaluation du risque par l’utilisateur. Les affirmations portant sur d’autres données que les adresses e-mail et les mots de passe en clair ne sont donc pas présentées comme des champs avérés dans cette fiche.

D’anciennes inscriptions associées au domaine www.maryevans.com ont pu être oubliées. S’il est impossible de modifier les mots de passe de ces comptes oubliés, la priorité la plus réaliste consiste à retrouver les autres services sur lesquels le même mot de passe est utilisé et à les sécuriser.

Lorsqu’un nom d’utilisateur, une adresse e-mail ou des informations téléphoniques sont recoupés avec d’autres fuites, il devient plus facile pour les attaquants de déduire les centres d’intérêt, le pays, le secteur d’activité ou les habitudes d’inscription passées d’une personne. Ainsi, même si une fuite isolée semble limitée, le risque cumulé est plus important.

Les institutions devraient aborder l’utilisation des adresses e-mail professionnelles pour les inscriptions personnelles des salariés dans leurs formations régulières de sensibilisation. Ce type de fiche constitue un signal d’alerte permettant de mesurer la réutilisation des mots de passe et la visibilité des identités professionnelles sur les plateformes personnelles.

Si l’utilisateur trouve sa propre adresse e-mail dans cette fiche, il devrait commencer par ses comptes les plus importants : messagerie, compte bancaire ou d’investissement, gestionnaire de mots de passe, stockage dans le cloud, réseaux sociaux et comptes d’achats fréquemment utilisés.

Lorsque la fermeture d’un compte est possible, supprimer les anciennes inscriptions inutiles est également une bonne mesure. Pour les comptes qui ne peuvent pas être fermés, il convient au minimum de choisir un mot de passe unique, de réduire les informations du profil au strict nécessaire et d’activer les notifications de connexion.