Fuite de données MyVidster (2015)

Les types de données confirmés dans la fiche MyVidster (2015) sont les adresses e-mail, les noms d’utilisateur et les mots de passe. Le champ du mot de passe est indiqué sous forme hachée : cette valeur n’est pas équivalente à un mot de passe en clair, mais les mots de passe faibles ou réutilisés peuvent être retrouvés par cassage ou essayés sur d’autres services. L’adresse e-mail sert à la récupération du compte et au rapprochement d’identités, tandis que le nom d’utilisateur peut permettre de relier les profils d’une personne sur différentes plateformes.

Cette combinaison de données est particulièrement utile pour les attaques fondées sur la réutilisation des mots de passe. Si un utilisateur a employé le même mot de passe pour sa messagerie, un réseau social, un forum, une plateforme vidéo, un service de stockage en ligne ou un compte professionnel, les anciennes données MyVidster peuvent présenter un risque même des années plus tard. Le rapprochement entre le nom d’utilisateur et l’adresse e-mail peut également rendre plus convaincants des messages d’hameçonnage portant sur de fausses alertes de compte, d’anciens liens vidéo, des avis relatifs aux droits d’auteur ou des mises à jour de profil.

Le périmètre confirmé de cette fiche est de 19 863 comptes. La date de l’incident est indiquée comme étant le 15 août 2015, et la date d’ajout à la base de données comme étant le 10 octobre 2015. La dernière mise à jour, datée de 2025 dans les fiches sources, ne signifie pas que l’incident de 2015 vient de se produire : elle doit être considérée comme une mise à jour technique ou de classification. Sur LeakData, il ne faut pas confondre la date de la fuite avec celle de la dernière opération de maintenance.

Les catégories de données se limitent aux adresses e-mail, aux noms d’utilisateur et aux mots de passe. Il ne faut pas ajouter à cette fiche de 2015 des photos de profil, des adresses postales, des numéros de téléphone, des informations de paiement, des messages privés ou un historique de suivi. La fiche MyVidster de 2025 concerne un incident distinct et comporte d’autres catégories de données. Lors de la consultation de la fiche de 2015, l’utilisateur doit donc recevoir une explication distincte et circonscrite des risques, centrée sur la sécurité des mots de passe.

Le premier groupe à risque comprend les personnes qui ont ouvert un compte MyVidster avant 2015 et qui ont continué à utiliser la même adresse e-mail. Ces personnes peuvent avoir oublié l’existence de ce compte. Toutefois, si l’ancienne adresse e-mail et le nom d’utilisateur sont également utilisés sur d’autres services, le risque de rapprochement des profils persiste. Le deuxième groupe comprend les utilisateurs qui réutilisent leur mot de passe MyVidster sur d’autres plateformes sociales, forums, services vidéo ou comptes de messagerie.

Le troisième groupe comprend les personnes qui s’inscrivent à un service de partage de vidéos à usage personnel avec une adresse e-mail professionnelle ou scolaire. Un tel rapprochement ne signifie pas directement qu’un accès au système de l’organisation a été obtenu. Il peut toutefois aider un attaquant à préparer des messages plus ciblés à partir de l’historique du compte personnel. D’anciens noms de services et noms d’utilisateur peuvent être exploités pour inspirer confiance.

Pour les utilisateurs présents dans la fiche MyVidster (2015), la première étape consiste à cesser d’utiliser le mot de passe de l’époque ainsi que tous les mots de passe dérivés de la même base. Si ce mot de passe est encore utilisé pour la messagerie, les réseaux sociaux, les achats en ligne, les forums ou les services vidéo, il faut définir un mot de passe unique pour chaque compte. Ajouter un chiffre ou un court suffixe à la fin du mot de passe ne suffit pas : un choix sûr consiste à utiliser des mots de passe longs et aléatoires, générés par un gestionnaire de mots de passe.

Le compte de messagerie doit également être protégé. Il faut activer l’authentification multifacteur, vérifier l’adresse e-mail et le numéro de téléphone de récupération, et fermer les sessions inconnues. Avant de cliquer sur des liens dans des messages concernant d’anciens comptes de partage de vidéos, des alertes de profil ou des réinitialisations de mot de passe, l’utilisateur doit accéder au service par son adresse connue. Même si l’ancien compte MyVidster n’est plus actif, cet historique de mots de passe peut présenter un risque pour d’autres comptes.

Cette fiche montre que même les anciennes fuites de faible ampleur présentent un risque à long terme lorsqu’elles contiennent des mots de passe. Les utilisateurs doivent passer régulièrement en revue leurs anciens comptes de réseaux sociaux, de forums et de services vidéo. Ils doivent fermer les comptes inutilisés ou, au minimum, les isoler à l’aide d’un mot de passe unique. Réutiliser le même nom d’utilisateur dans différents contextes peut avoir des conséquences sur la vie privée : il convient donc de séparer autant que possible les comptes personnels, professionnels et liés aux loisirs.

Pour les organisations, la fuite MyVidster de 2015 rappelle que l’utilisation d’une adresse e-mail professionnelle pour des services personnels peut accroître le risque d’hameçonnage ciblé. Les équipes de sécurité doivent combiner la vérification des mots de passe divulgués, l’authentification multifacteur et les alertes relatives aux sessions à risque. Les données d’anciennes fuites n’ont pas seulement une valeur d’archive : les attaquants peuvent réessayer ces listes des années plus tard.

Un utilisateur qui voit un résultat MyVidster sur LeakData doit considérer cette fiche comme une alerte fondée sur des données vérifiées de 2015, concernant les mots de passe et le rapprochement de profils. La fiche couvre les champs d’adresse e-mail, de nom d’utilisateur et de mot de passe haché pour 19 863 comptes. Puisqu’il existe également une fiche MyVidster distincte de 2025 pour le même domaine, l’utilisateur doit veiller à bien distinguer les dates et les catégories de données.

L’ordre des mesures est clair : sécuriser d’abord le compte de messagerie, puis définir un mot de passe unique pour chaque service où l’ancien mot de passe MyVidster a pu être utilisé, et enfin vérifier les profils créés avec le même nom d’utilisateur. Si l’inscription a été effectuée avec une adresse e-mail professionnelle, le résultat doit être communiqué à l’équipe de sécurité. Même si l’ancien service n’est plus activement utilisé, il faut abandonner complètement le mot de passe et toutes ses variantes.