Fuite de données MySpace de 2008

Les catégories de données vérifiées sont les adresses e-mail, les mots de passe et les noms d’utilisateur. L’adresse e-mail peut, à elle seule, servir à cibler un grand nombre de personnes, tandis que le nom d’utilisateur peut aider à relier les traces d’anciens profils d’une même personne sur différentes plateformes. Selon les informations rapportées, le champ du mot de passe était stocké dans un ancien format fondé sur SHA-1, sans sel et limité aux 10 premiers caractères. Ce mode de stockage est peu robuste au regard des normes actuelles et accroît particulièrement le risque de cassage des empreintes de mots de passe courts, fondés sur des mots du dictionnaire ou réutilisés sur d’autres comptes.

Les conséquences de ce jeu de données ne se limitent pas à la possibilité d’accéder à un compte MySpace. La plupart des utilisateurs ont pu réutiliser leurs anciens mots de passe au fil des années pour des comptes de messagerie, de forums, de jeux, d’achats en ligne ou de réseaux sociaux. Les attaquants peuvent essayer les mêmes combinaisons d’adresses e-mail et de mots de passe sur différents services pour tenter de se connecter. Les noms d’utilisateur peuvent également aider à retrouver l’ancienne identité en ligne d’une personne ciblée, à rédiger de faux messages d’assistance ou à paraître crédible en utilisant des liens vers d’anciens profils.

La date de la fuite est enregistrée dans le système au 1er juillet 2008. Le jeu de données a été mis en vente en mai 2016 et ajouté aux systèmes de recherche vérifiés à la même période. La date d’ajout vérifié et de dernière modification est le 31 mai 2016. Le nombre de comptes concernés retenu est de 359 420 698. Certains rapports peuvent mentionner des nombres bruts de mots de passe plus élevés, car certains comptes pouvaient comporter plusieurs champs de mot de passe; il a donc été considéré que le nombre d’enregistrements ne correspondait pas au nombre de mots de passe.

La notification officielle adressée aux utilisateurs indiquait qu’aucune information de carte de crédit ni aucune donnée financière n’était collectée et que de telles données n’étaient pas concernées par l’incident. Celui-ci ne doit donc pas être présenté comme une fuite de données de cartes de paiement ou de données bancaires. Les données de santé, le contenu des messages privés, les numéros de pièces d’identité et les numéros de téléphone ne figurent pas non plus parmi les catégories de données vérifiées. Pour une évaluation fiable, le périmètre se limite aux adresses e-mail, aux noms d’utilisateur et aux mots de passe; aucun autre type de données susceptible d’alarmer inutilement les utilisateurs n’y est ajouté.

Le risque le plus élevé concerne les personnes qui ont créé leur compte MySpace avant 2013 et utilisé le même mot de passe, ou un mot de passe similaire, sur d’autres services. Les utilisateurs qui conservent leur ancienne adresse e-mail active peuvent constater des tentatives de connexion par mot de passe sur d’autres comptes créés avec cette adresse. Pour ceux qui ont utilisé leur ancien nom d’utilisateur sur différentes plateformes, le risque de rapprochement entre leurs identités augmente. Les utilisateurs qui ont conservé le même pseudonyme, notamment pour leurs comptes liés à la musique, aux forums, aux jeux et aux réseaux sociaux, peuvent être ciblés plus facilement.

Le risque ne concerne pas uniquement les personnes qui utilisent activement leurs comptes. Des comptes abandonnés, des adresses e-mail oubliées et d’anciens mots de passe peuvent figurer dans les listes utilisées par les attaquants pour leurs essais automatisés. Si le compte de messagerie est toujours accessible, des mots de passe ressemblant aux anciens mots de passe MySpace peuvent être essayés sur d’autres comptes. Les personnes qui ont utilisé par le passé leur adresse e-mail professionnelle pour des comptes personnels sur des réseaux sociaux peuvent également être ciblées à travers leur identité professionnelle. L’ancienneté des données n’élimine pas le risque; la réutilisation des mots de passe est une faiblesse de sécurité qui peut durer des années.

La priorité est de vérifier si les mots de passe utilisés sur le compte MySpace, ou des mots de passe similaires, sont encore employés sur d’autres services. Chaque compte utilisant le même mot de passe ou un mot de passe similaire doit recevoir un mot de passe unique et robuste. Les comptes de messagerie, les réseaux sociaux, le stockage dans le cloud, les services financiers et les comptes professionnels sont à vérifier en premier. Les adresses e-mail et les numéros de téléphone de récupération doivent être à jour, les sessions inconnues doivent être fermées et l’authentification à deux facteurs doit être activée partout où cela est possible.

Si vous avez accès à votre ancien compte MySpace, réinitialisez son mot de passe, limitez les informations personnelles inutiles sur le profil et supprimez les connexions inutilisées. Si vous n’y avez plus accès, examinez l’historique de sécurité des comptes critiques liés à la même adresse e-mail. Un gestionnaire de mots de passe facilite la création d’un mot de passe unique pour chaque service. Si vous recevez des messages visant votre ancien compte MySpace ou le même nom d’utilisateur, il est recommandé de procéder à une vérification distincte depuis la page de connexion officielle, sans cliquer sur les liens de ces messages.

Cet incident montre que d’anciens comptes de réseaux sociaux peuvent présenter un risque de sécurité même de nombreuses années plus tard. Les comptes inutilisés doivent être fermés ou, au minimum, protégés par un mot de passe unique et une authentification à deux facteurs. Si de nombreux anciens comptes ont été créés avec la même adresse e-mail, il peut être préférable d’utiliser une adresse e-mail distincte ou un alias pour les services critiques. Comme la réutilisation d’un nom d’utilisateur sur différentes plateformes facilite le rapprochement entre les identités, une stratégie de nommage différente est plus sûre pour les comptes sensibles ou professionnels.

En entreprise, il convient de partir du principe que d’anciens mots de passe de réseaux sociaux ont pu être réutilisés sur les comptes des employés. Les équipes de sécurité doivent mettre en place des contrôles continus pour détecter la réutilisation des mots de passe, des politiques de mots de passe robustes, une authentification à deux facteurs obligatoire et une surveillance des tentatives de connexion suspectes. Les particuliers doivent également tenir un inventaire de leurs anciens comptes, examiner régulièrement l’historique des sessions sur leurs comptes critiques et intégrer les changements de mot de passe à l’entretien régulier de leur sécurité, plutôt que de les réserver aux suites d’une fuite. Même s’il peut être difficile de se souvenir d’anciens mots de passe, l’utilisation de nouveaux mots de passe uniques avec un gestionnaire de mots de passe réduit durablement le risque.

Si le résultat de la vérification est positif, cela signifie que l’adresse e-mail, le nom d’utilisateur ou le mot de passe associé à votre compte MySpace figure dans le jeu de données vérifié. Ce résultat ne signifie pas que vos informations financières ou vos messages privés ont été divulgués. La principale mesure consiste à vous assurer que le même mot de passe n’est utilisé sur aucun autre service. Sécurisez d’abord votre compte de messagerie et vos services critiques, puis passez en revue vos anciens comptes de réseaux sociaux et de forums.

Si le résultat de la vérification est négatif, cela signifie uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données; le risque lié à d’autres incidents passés n’est pas entièrement écarté. Si vous avez créé de nombreux anciens comptes avec la même adresse e-mail, généralisez malgré tout l’utilisation d’un mot de passe unique et de l’authentification à deux facteurs. L’incident MySpace a montré que même des comptes oubliés peuvent avoir des conséquences sur la sécurité de votre identité et de vos mots de passe des années plus tard. La démarche la plus appropriée consiste donc à vérifier qu’aucun ancien mot de passe n’est réutilisé sur un service critique.