Nameless Malware 2020: exposition de données liée à un logiciel malveillant

Le champ vérifié sur lequel porte la recherche est l’adresse e-mail. Par ailleurs, l’analyse technique de l’incident montre que le logiciel malveillant cible les identifiants de connexion, les noms d’utilisateur, les mots de passe, les cookies de navigateur, les identifiants d’appareils, les fichiers présents sur le bureau et dans le dossier Téléchargements, les captures d’écran, les photos prises avec la caméra, les données de saisie automatique et certaines traces d’informations de paiement. Lorsque ces données proviennent du même appareil, l’attaquant peut obtenir des informations non seulement sur le compte, mais aussi sur les habitudes d’utilisation de l’appareil et l’historique des sessions de la personne.

Les cookies de navigateur sont particulièrement dangereux : dans certains cas, ils permettent d’accéder à une session ouverte sans connaître le mot de passe. Les fichiers et les photos augmentent les risques d’usurpation d’identité, d’atteinte à la vie privée et de chantage. Les informations de connexion contenant un mot de passe ou un nom d’utilisateur peuvent être testées sur d’autres services. L’adresse e-mail est le principal élément qui relie ces fragments de données à l’utilisateur. Un résultat positif doit donc être considéré non seulement comme un risque de messages indésirables, mais aussi comme un risque de prise de contrôle de comptes à partir de données issues de l’appareil.

Pour cette fiche, l’incident couvre la période 2018-2020, la date de référence est le 1er janvier 2020 et la date d’ajout au jeu de données est le 9 juin 2021. Le nombre vérifié d’adresses e-mail uniques est de 1 121 484. Les 3,25 millions d’ordinateurs et les 1,2 To de données mentionnés dans les recherches illustrent l’ampleur de l’ensemble de la campagne malveillante. La recherche par utilisateur dans LeakData porte, quant à elle, sur les adresses e-mail uniques extraites de cette campagne.

L’incident n’est lié ni à un nom de domaine précis ni à la base de données d’une marque. Les champs correspondant au site web de l’entreprise et au domaine doivent donc rester vides. Le champ pays conserve une portée mondiale, et le secteur correspond aux fiches relatives aux logiciels malveillants et aux logiciels voleurs d’informations. Les comptes bancaires, les numéros de pièces d’identité officielles, les dossiers médicaux et les historiques d’achats précis ne figurent pas parmi les catégories générales de données de cette fiche. Les informations de paiement sont uniquement décrites sous l’angle du risque lié aux traces de données laissées dans les logiciels et mentionnées dans les recherches. La présence de données de carte complètes n’est pas présumée pour chaque résultat positif.

Le risque est le plus élevé pour les personnes ayant utilisé, durant la période 2018-2020, un ordinateur Windows infecté par l’intermédiaire d’un e-mail contenant des logiciels piratés, de faux jeux, des outils de contournement des protections ou des extensions malveillantes. Si des sessions de messagerie personnelle, de comptes professionnels, de réseaux sociaux, de jeux, de partage de fichiers, de stockage dans le cloud ou de services financiers sont restées ouvertes sur le même appareil, l’attaquant a pu recueillir des traces non seulement grâce au mot de passe, mais aussi par l’intermédiaire des cookies de session et des fichiers locaux.

Le risque est plus important pour les personnes utilisant une adresse e-mail professionnelle. Les cookies et mots de passe recueillis sur l’appareil personnel d’un salarié ou sur un ordinateur professionnel insuffisamment protégé peuvent servir à tenter d’accéder à des comptes internes. Les enregistrements contenant des photos, des documents et des captures d’écran présentent des risques pour la vie privée des membres de la famille, des étudiants, des travailleurs indépendants et des utilisateurs qui stockent des documents sensibles. Dans cet incident, il importe davantage de savoir quelles sessions sont ouvertes sur quels appareils que de savoir sur quels sites vous êtes inscrit.

Si une correspondance positive est signalée, vous devez d’abord modifier les mots de passe des comptes critiques depuis un appareil sain et à jour. La priorité doit être donnée aux comptes de messagerie, aux gestionnaires de mots de passe, aux réseaux sociaux, au stockage dans le cloud, aux comptes professionnels, aux plateformes de jeux et aux services de paiement. Fermez toutes les sessions ouvertes et utilisez l’option de déconnexion de tous les appareils sur les services qui permettent d’invalider les cookies de session. Si vous avez réutilisé le même mot de passe, choisissez un mot de passe unique pour chaque compte.

Si vous utilisez encore l’appareil concerné, lancez une analyse de sécurité, mettez à jour le système d’exploitation et le navigateur, supprimez les extensions suspectes et retirez les logiciels piratés. Revoyez vos habitudes si vous laissez des documents sensibles sur l’appareil photo, dans le dossier Téléchargements ou sur le bureau. Activez la protection multifacteur. Si vous recevez de façon inattendue une notification de sécurité, un lien de partage de fichiers, une récompense de jeu, une facture ou un message de fermeture de compte, n’entreprenez aucune démarche ailleurs que depuis un écran de connexion que vous connaissez.

Cet incident montre qu’une fuite de données liée à un logiciel malveillant a des répercussions plus larges qu’une fuite classique sur un site web. Limitez l’enregistrement des mots de passe dans le navigateur, utilisez un gestionnaire de mots de passe de confiance, effacez régulièrement les cookies et les anciennes sessions, et privilégiez les clés de sécurité matérielles ou l’authentification à deux facteurs via une application pour les comptes critiques. Même s’ils peuvent sembler peu coûteux, les logiciels piratés et les outils de contournement des protections présentent des risques élevés pour la sécurité des comptes et des fichiers.

Pour les organisations, cette fiche souligne l’importance de la sécurité des appareils des salariés, de la protection des terminaux et de la gestion des sessions de navigateur. Il ne suffit pas de surveiller les fuites touchant les systèmes de l’entreprise : les correspondances d’adresses e-mail et de mots de passe provenant de logiciels voleurs d’informations doivent également être intégrées au score de risque. Les contrôles limitant la réutilisation des mots de passe, l’accès conditionnel, les vérifications de l’état de sécurité des appareils et les procédures de fermeture des sessions suspectes renforcent la protection à long terme.

Si une recherche par adresse e-mail dans LeakData donne un résultat positif pour cette fiche, cela signifie que l’adresse concernée figure parmi les 1 121 484 adresses e-mail uniques du jeu de données Nameless Malware. Ce résultat indique qu’il faut prendre au sérieux le risque lié aux mots de passe, cookies, fichiers, photos et données de saisie automatique qui ont pu être recueillis sur l’appareil. Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données précis. Il n’exclut pas la présence dans d’autres jeux de données liés à des logiciels malveillants, ni l’utilisation d’une autre adresse e-mail.

Les mesures appropriées consistent à modifier le mot de passe depuis un appareil sain, à fermer toutes les sessions, à rechercher les logiciels malveillants, à activer la protection multifacteur, à éviter les fichiers et liens suspects, à stocker les fichiers sensibles dans un environnement chiffré et à cesser totalement de réutiliser les mots de passe. Cette fiche doit être considérée comme celle d’un incident sensible lié à un logiciel malveillant, de portée mondiale et indépendant de tout domaine. L’adresse e-mail permet de signaler le risque à l’utilisateur, mais les mesures de sécurité de l’appareil sont indispensables pour y répondre pleinement.