MtGox Fuite de données

Les principaux types de données figurant dans cette fiche sont les adresses e-mail, les noms d’utilisateur, les numéros de compte et les empreintes de mots de passe. Une adresse e-mail seule peut sembler présenter peu de risques, mais lorsqu’elle est associée à un ancien compte sur une plateforme d’échange, elle constitue un solide point de départ pour des tentatives d’hameçonnage ciblées, de fausses annonces de remboursement, de faux messages d’assistance et des fraudes liées aux cryptomonnaies. Les noms d’utilisateur et les numéros de compte permettent à un attaquant d’envoyer des messages plus crédibles aux yeux de la victime, de se faire passer pour le titulaire d’un ancien compte sur la plateforme ou de rechercher le même nom d’utilisateur sur d’autres plateformes. Les empreintes de mots de passe ne sont pas des mots de passe en clair; toutefois, les mots de passe anciens et faibles peuvent présenter un risque, en particulier avec des méthodes de hachage qui étaient faciles à casser à l’époque. Si le même mot de passe a été réutilisé pour différents comptes de plateformes d’échange, de messagerie, de forums ou de services de paiement, cet incident peut ouvrir la voie à des tentatives de prise de contrôle de comptes, même des années plus tard.

Le périmètre vérifié se limite aux données de comptes exposées depuis la base de données des utilisateurs de MtGox en 2011. Le nombre d’enregistrements retenu est de 42 163, car les répertoires de fuites disponibles associent directement ce chiffre au nom de domaine de MtGox et à la période de juin 2011. Les récits de l’époque corroborent la diffusion d’informations de connexion aux comptes, d’adresses e-mail et de mots de passe chiffrés après l’accès à la base de données. En revanche, cette fiche ne porte pas sur la perte de cryptoactifs ayant conduit à la faillite de MtGox en 2014, sur les quantités de Bitcoin qui auraient été volées dans les portefeuilles de la plateforme, ni sur la procédure concernant les créanciers. Cette distinction est importante : la fuite de données utilisateurs présente un risque pour la sécurité des comptes personnels, tandis que le dossier de 2014 concerne un autre événement, qui doit être examiné séparément sous l’angle des réserves de la plateforme et de son effondrement opérationnel.

Les personnes les plus exposées sont celles qui ont ouvert un compte MtGox durant la période de 2011, conservé la même adresse e-mail pendant longtemps et réutilisé leur mot de passe sur d’autres services. Les personnes qui utilisent le même pseudonyme dans les communautés consacrées aux cryptomonnaies courent également un risque supplémentaire, car ce nom d’utilisateur peut être relié à d’autres forums, plateformes d’échange ou comptes sur les réseaux sociaux. Les anciens titulaires de comptes doivent se méfier des faux messages de remboursement, d’inscription au registre des créanciers, de vérification de portefeuille ou d’assistance qui peuvent apparaître des années plus tard. Ces messages peuvent inspirer confiance en s’appuyant sur l’historique réel de l’événement et diriger l’utilisateur vers de fausses pages de connexion. Même si l’adresse e-mail n’est plus active, les comptes précédemment ouverts avec cette adresse peuvent être ciblés par des tentatives d’utilisation abusive des identifiants en raison de la réutilisation des mots de passe. Le risque ne doit donc pas être considéré comme limité au seul compte MtGox : tous les comptes critiques utilisant la même adresse e-mail et des mots de passe issus du même historique doivent être évalués ensemble.

Pour un utilisateur dont l’adresse e-mail figure dans cette fiche, la première étape devrait être de recenser tous les comptes sur lesquels l’ancien mot de passe MtGox, ou des mots de passe similaires, sont encore utilisés. Les vérifications doivent porter en priorité sur le compte de messagerie, les plateformes d’échange de cryptomonnaies, les services financiers, le gestionnaire de mots de passe, le stockage dans le cloud et les comptes sur les réseaux sociaux. Les mots de passe réutilisés doivent être remplacés par des mots de passe longs et uniques. Des seconds facteurs d’authentification robustes, comme une application d’authentification ou une clé matérielle, doivent être activés partout où cela est possible. Il convient de vérifier les règles de la messagerie, les transferts automatiques, les adresses de récupération et l’historique des connexions, puis de fermer toute session non reconnue. Pour les messages concernant des remboursements, des procédures judiciaires, des indemnisations ou des vérifications de portefeuille qui utilisent le nom MtGox, le nom de domaine doit être examiné attentivement avant de cliquer sur un lien. Le mot de passe ou la phrase de récupération demandés ne doivent en aucun cas être communiqués.

Bien que cet incident paraisse ancien, il présente un risque à long terme en raison de la réutilisation des mots de passe et des fraudes ciblant les cryptomonnaies. Les utilisateurs doivent employer des mots de passe uniques pour tous leurs comptes critiques, générer des mots de passe robustes et aléatoires à l’aide d’un gestionnaire de mots de passe et traiter les identifiants utilisés sur d’anciens comptes de plateformes d’échange et de forums comme une catégorie de risque distincte. Les adresses e-mail associées à des actifs en cryptomonnaies doivent être séparées autant que possible : il faut éviter d’utiliser la même adresse pour les investissements, les plateformes d’échange, les portefeuilles et les communications quotidiennes. Les options de récupération des comptes doivent être revues régulièrement, et les anciens numéros de téléphone ainsi que les adresses e-mail inutilisées doivent être supprimés. En entreprise, les adresses e-mail de salariés figurant dans d’anciennes fuites de plateformes d’échange de cryptomonnaies peuvent faire l’objet de scénarios spécifiques dans les formations à l’hameçonnage. Ainsi, une fuite ancienne peut être repérée avant de servir de point de départ à une chaîne d’accès actuelle.

La présence d’une correspondance dans cette fiche ne signifie pas que les cryptoactifs de la personne ont été directement volés; elle indique que son adresse e-mail ou ses informations de compte peuvent figurer parmi les données concernées par l’incident de 2011 touchant la base de données des utilisateurs. Le risque doit néanmoins être pris au sérieux, car la combinaison d’anciennes empreintes de mots de passe, de mots de passe réutilisés et de campagnes d’hameçonnage sur le thème des cryptomonnaies peut accroître les conséquences pour la sécurité des comptes. L’utilisateur doit dresser la liste des comptes critiques ouverts avec la même adresse e-mail, cesser de réutiliser les mots de passe, renforcer la protection à deux facteurs et se méfier des messages qui exploitent l’historique de MtGox. Pour les organisations, lorsqu’une adresse e-mail de salarié apparaît dans cette fiche, il est recommandé de ne pas s’en tenir au nombre de correspondances. Cette correspondance constitue un point de contrôle supplémentaire concernant l’accès de la personne à ses comptes financiers, ses rôles à privilèges élevés dans les systèmes et le risque de réutilisation des mots de passe.