MrExcel Fuite de données

Les champs de données exposés lors de cette fuite présentent des niveaux de risque différents. Les adresses e-mail et les noms d’utilisateur permettent aux attaquants d’associer une personne à un compte MrExcel et de préparer des messages qui semblent personnalisés. Les adresses IP peuvent être rapprochées d’une localisation approximative de la connexion et d’informations sur le fournisseur d’accès; elles ne permettent pas, à elles seules, d’identifier une personne, mais peuvent faciliter le profilage lorsqu’elles sont combinées à d’autres données. Les dates de naissance sont des informations personnelles qui peuvent servir dans des tentatives de réinitialisation de mot de passe, de réponse aux questions de sécurité ou d’ingénierie sociale. Les relations sociales et l’activité sur le site peuvent fournir des indications sur les liens entre membres du forum, les habitudes de messagerie passées ou le comportement des utilisateurs. Les données de mots de passe constituent le champ le plus critique. La présence de mots de passe sous forme d’empreintes MD5 salées ne signifie pas que les mots de passe en clair ont été directement publiés. Toutefois, MD5 étant vulnérable aux attaques consistant à tester rapidement un grand nombre de mots de passe, les mots de passe courts, prévisibles ou déjà utilisés peuvent être retrouvés. Si le même mot de passe est valable pour une messagerie, un compte professionnel, un service de stockage dans le cloud, des réseaux sociaux, des sites marchands ou d’autres forums, une seule fuite sur un forum peut entraîner un risque de compromission de comptes bien plus étendu.

Le nombre de comptes vérifiés à retenir est de 366 140. La date de l’incident a été vérifiée comme étant le 5 décembre 2016, et celle de son enregistrement comme étant le 22 janvier 2017. Le périmètre concerne les données des membres du forum MrExcel; il ne faut donc pas supposer que tous les visiteurs de MrExcel, les lecteurs de ses contenus ou les clients de sa boutique ont été touchés de la même manière. La notification officielle précise expressément que les données des comptes de la boutique n’ont pas été affectées par cet incident. Pour le forum, il a été indiqué que les identifiants d’utilisateur, les adresses e-mail et les données de mots de passe sous forme d’empreintes de hachage accompagnées d’un sel (hash+salt) avaient été consultés. Certaines informations d’activité, notamment les connexions récentes, le nombre de messages publiés et des données similaires issues des rubriques d’administration, étaient également visibles. D’autres relevés de vérification mentionnaient aussi des champs tels que la date de naissance, l’adresse IP, les relations sociales, les noms d’utilisateur et l’activité sur le site; ces champs ont donc été conservés dans la fiche. Cette distinction est importante : une affirmation trop large dans une fiche de fuite de données induit l’utilisateur en erreur, tandis que l’omission d’un champ masque le risque réel. Pour MrExcel, il convient de retenir une fuite centrée sur les comptes du forum, un risque de cassage des mots de passe dû à la faiblesse de l’algorithme de hachage et la possibilité de prises de contrôle de comptes en chaîne pour les personnes qui utilisent le même mot de passe sur différents services.

Les personnes les plus exposées sont celles qui possédaient un compte sur le forum MrExcel avant décembre 2016 et utilisaient également le même mot de passe sur d’autres services. Ce groupe comprend aussi les utilisateurs qui avaient créé un compte sur le forum pour obtenir de l’aide sur Excel, mais ne s’y sont pas connectés depuis des années : les mots de passe des comptes oubliés restent souvent inchangés dans les gestionnaires de mots de passe. Le deuxième groupe à risque est constitué des utilisateurs dont le compte sur le forum est associé à une adresse e-mail professionnelle. Les membres qui utilisent une adresse d’entreprise peuvent recevoir des messages d’hameçonnage plus convaincants, portant sur des fichiers Excel, des macros, des processus de reporting ou des documents de travail. Le troisième groupe comprend les personnes qui utilisent leur date de naissance ou leur nom d’utilisateur sous la même forme sur d’autres sites. Ces informations peuvent servir à tenter de deviner les réponses aux questions de récupération de compte ou à gagner la confiance de la personne par de faux messages d’assistance. Les personnes actives sur le forum, qui posent souvent des questions, téléchargent des extensions ou affichent leurs relations sociales sur leur profil, peuvent être davantage exposées. Dans les communautés d’assistance technique comme MrExcel, les utilisateurs donnent souvent des indices sur leur manière de travailler, leur secteur d’activité ou les outils qu’ils utilisent. Les attaquants peuvent donc mener des tentatives plus ciblées en exploitant non seulement le mot de passe, mais aussi des informations sur le comportement de l’utilisateur.

Si vous êtes concerné par cette fiche, commencez par identifier l’ancien mot de passe que vous utilisiez sur le forum MrExcel, puis changez le mot de passe de tous les comptes sur lesquels vous aviez utilisé ce même mot de passe ou un mot de passe similaire. Ne vous limitez pas au compte MrExcel : vérifiez aussi les comptes de messagerie, de réseaux sociaux, de stockage dans le cloud, de paiement, d’achat, d’outils professionnels et d’autres forums ouverts avec la même adresse e-mail. Les nouveaux mots de passe doivent être longs, uniques et aléatoires; ajouter simplement un chiffre ou un symbole à la fin de l’ancien mot de passe ne suffit pas. Le compte de messagerie est prioritaire, car sa compromission met également en danger les liens de réinitialisation des mots de passe des autres services. Activez l’authentification à deux facteurs sur tous les comptes importants qui la prennent en charge. Méfiez-vous aussi des messages suspects ayant pour thème MrExcel, les fichiers Excel, les macros, les factures, les demandes d’assistance, les alertes de sécurité ou les réinitialisations de mot de passe. Au lieu d’accéder à la page de connexion par un lien contenu dans un message, saisissez vous-même l’adresse dans le navigateur ou utilisez des favoris fiables. N’ouvrez pas de pièces jointes inconnues et bloquez en particulier les fichiers Office contenant des macros. Si un ancien compte sur le forum ne vous est plus utile, envisagez également de le fermer ou de réduire les informations présentes sur votre profil.

L’incident MrExcel montre que les anciens comptes de forum peuvent avoir des conséquences sur la sécurité, même après de nombreuses années. À long terme, chaque utilisateur devrait enregistrer les accès à tous ses comptes, y compris ceux des forums, dans un gestionnaire de mots de passe et éliminer toute réutilisation de mots de passe. Les outils de contrôle du gestionnaire peuvent être privilégiés pour vérifier régulièrement si un même mot de passe est utilisé sur différents services. Les comptes personnels de forum ouverts avec une adresse e-mail professionnelle devraient également être dissociés de cette adresse; protéger les comptes professionnels et personnels avec le même mot de passe ou la même méthode de récupération peut propager le risque au domaine de l’entreprise. Pour les comptes critiques, privilégiez des seconds facteurs plus robustes, comme l’authentification par application ou les clés matérielles. La leçon est également claire pour les administrateurs de forums et de communautés : les anciens logiciels de forum et leurs extensions doivent être mis à jour régulièrement, les algorithmes de hachage des mots de passe doivent être remplacés par des algorithmes modernes et lents, les comptes administrateur doivent être distincts et bénéficier d’une protection supplémentaire, et les notifications aux utilisateurs ne doivent pas être retardées lorsqu’une fuite est soupçonnée. Du côté des utilisateurs, il convient de ne pas laisser de dates de naissance, de liens sociaux ou d’informations professionnelles inutiles sur les anciens profils de forum. Moins un profil contient de données, moins un attaquant dispose d’éléments de contexte à exploiter lors d’une future fuite.

Une correspondance avec la fiche MrExcel indique que l’adresse e-mail concernée a été trouvée parmi les données des comptes du forum de décembre 2016. Déterminez d’abord quel mot de passe vous utilisiez sur ce forum, puis mettez à jour, un par un, tous les comptes sur lesquels vous avez pu utiliser ce même mot de passe par le passé. Même si vous ne vous souvenez plus de l’ancien mot de passe, considérez comme à risque les comptes créés à la même époque et consultez les données enregistrées dans votre gestionnaire de mots de passe. Dans votre compte de messagerie, vérifiez les connexions récentes, les adresses de récupération, les règles de transfert et les appareils que vous ne reconnaissez pas. Si vous repérez une session suspecte, déconnectez tous les appareils, réinitialisez le mot de passe et activez l’authentification à deux facteurs. En raison de l’exposition des dates de naissance et des noms d’utilisateur, revoyez également les questions de réinitialisation de mot de passe et utilisez des réponses uniques plutôt que faciles à deviner. Examinez avec une attention particulière les pièces jointes et les liens des e-mails qui semblent concerner Excel, des macros, des téléchargements de fichiers ou l’assistance du forum. Cette fuite ne doit pas être considérée comme une fuite de comptes de la boutique ou d’informations de paiement; toutefois, si le mot de passe du forum est réutilisé sur d’autres services, les conséquences pourraient dépasser le cadre du forum. La mesure la plus appropriée consiste donc à faire en sorte que l’ancien mot de passe du forum ne soit plus valable nulle part et à utiliser une couche de vérification supplémentaire sur les comptes importants.