Naughty America Fuite de données

Les catégories de données confirmées comprennent les dates de naissance, les adresses e-mail, les adresses IP, les mots de passe, les noms d’utilisateur et les informations sur l’activité sur le site. Les adresses e-mail constituent un point de départ pour l’envoi de messages d’hameçonnage ciblés. Les noms d’utilisateur augmentent le risque de rapprochement des identités en ligne lorsqu’un même pseudonyme est utilisé sur plusieurs services. Les adresses IP ne révèlent pas directement une adresse postale précise; elles peuvent toutefois donner une indication sur la localisation approximative, le fournisseur d’accès et les habitudes de connexion. Les informations sur l’activité sur le site présentent un risque élevé pour la vie privée en raison du caractère sensible de l’inscription.

La protection des mots de passe par hachage MD5 constitue également un point faible. MD5 est une méthode ancienne dont le calcul est très rapide et qui n’est pas considérée comme une norme moderne de stockage des mots de passe. Si l’utilisateur a choisi un mot de passe court, répétitif, fondé sur des mots du dictionnaire ou contenant une date de naissance, le risque qu’il soit retrouvé augmente. Si ce même mot de passe a été utilisé pour d’autres comptes, les conséquences de cette fuite peuvent s’étendre à différents services : messagerie, réseaux sociaux, services financiers, jeux ou comptes professionnels.

Le recoupement des sources confirme que l’incident Naughty America s’est produit le 14 mars 2016, que son ajout date du 24 avril 2016 et que 1 398 630 comptes ont été touchés. Les catégories de données se limitent aux dates de naissance, aux adresses e-mail, aux adresses IP, aux données de mots de passe, aux noms d’utilisateur et aux informations sur l’activité sur le site. Les numéros de téléphone, les adresses postales, les cartes de paiement, les pièces d’identité officielles, le contenu de messages privés et les photos ne font pas partie des données dont la divulgation est vérifiée pour cet incident. Ajouter des catégories non vérifiées donnerait aux utilisateurs une image fausse du risque.

L’incident doit rester classé comme sensible, car le contexte de l’inscription peut porter atteinte à la vie privée et à la réputation. Le nombre élevé d’enregistrements en accroît la gravité, mais le risque principal tient à la combinaison de l’adresse e-mail, du mot de passe, du nom d’utilisateur et de l’activité sur le site. Cette combinaison peut servir à des opérations d’hameçonnage, à des tentatives d’extorsion, à des tests d’accès à des comptes ou au rapprochement d’identités entre différents services. La présentation de l’incident doit donc être à la fois mesurée et claire : l’étendue de l’accès aux données concernées doit être décrite sans exagération, et les catégories vérifiées doivent être clairement distinguées.

Le risque le plus élevé concerne les personnes qui utilisent également le mot de passe de leur compte Naughty America sur d’autres services. Un ancien mot de passe peut rester dangereux même des années plus tard, car les jeux de données divulgués circulent longtemps et sont réutilisés dans de nouvelles tentatives d’accès à des comptes. Les messages ciblés peuvent être plus convaincants pour les personnes qui utilisent la même adresse e-mail pour leurs échanges professionnels ou familiaux, leurs réseaux sociaux ou leurs comptes financiers. Les personnes qui conservent le même nom d’utilisateur sur différentes plateformes sont également plus exposées au risque de rapprochement de leurs identités en ligne.

Le risque pour la vie privée doit aussi être évalué séparément. Le fait que des tiers apprennent qu’une personne est inscrite à un site de contenu pour adultes peut, pour certains utilisateurs, entraîner des problèmes de réputation, de confiance au sein de la famille, de relations professionnelles ou de sécurité personnelle. Le croisement des informations sur l’activité sur le site, de l’adresse IP et de la date de naissance facilite la création de messages personnalisés par un attaquant. Changer uniquement le mot de passe ne suffit donc pas; il faut également examiner la sécurité de la messagerie et les traces de son identité en ligne.

La première étape consiste à vérifier que l’ancien mot de passe du compte Naughty America n’est plus utilisé sur aucun autre service. Mettez à jour les mots de passe de tous les comptes sur lesquels vous utilisez un mot de passe identique ou similaire. La messagerie est prioritaire, car les liens de récupération de compte et les messages de réinitialisation de mot de passe passent le plus souvent par e-mail. Activez l’authentification multifacteur sur votre compte de messagerie et vérifiez les adresses de récupération ainsi que l’historique des connexions.

Faites preuve de prudence face aux messages de menace, de chantage, de demande de paiement ou d’alerte de compte reçus à l’adresse e-mail associée à l’incident. Les attaquants peuvent rendre un message crédible en utilisant des détails comme le nom du site utilisé à l’époque, le nom d’utilisateur, la région associée à l’adresse IP ou la date de naissance. Ne répondez pas à ces messages, n’ouvrez pas les pièces jointes et ne tentez pas de vous connecter en suivant leurs liens. Si nécessaire, examinez également les règles de messagerie, les paramètres de transfert et les sessions récentes.

À long terme, utilisez un mot de passe unique et robuste pour chaque service. Un gestionnaire de mots de passe est un moyen efficace de repérer les anciens mots de passe réutilisés et de stocker les nouveaux en toute sécurité. Si vous pouvez séparer l’adresse e-mail utilisée pour les inscriptions sensibles de celle qui sert à vos échanges professionnels et familiaux quotidiens, le risque diminue. Éviter de reprendre le même pseudonyme dans différentes communautés réduit aussi la probabilité de rapprochement des identités.

Faites régulièrement le point sur vos anciennes inscriptions, fermez les comptes que vous n’utilisez plus et maintenez des paramètres de confidentialité stricts. Lorsque des données telles que l’activité sur le site sont divulguées, les informations de connexion ne sont pas les seules à pouvoir être ciblées : les centres d’intérêt personnels peuvent l’être aussi. Le plan de sécurité ne doit donc pas se limiter au changement des mots de passe; il doit associer sécurité de la messagerie, authentification multifacteur, suppression des anciens comptes et réduction des traces d’identité.

Si Naughty America apparaît dans vos résultats sur LeakData, examinez d’abord les éléments vérifiés de l’incident : 1 398 630 comptes touchés, un incident survenu le 14 mars 2016, des adresses e-mail, des adresses IP, des dates de naissance, des noms d’utilisateur, des mots de passe et des informations sur l’activité sur le site. Ces éléments imposent d’évaluer conjointement le risque de prise de contrôle des comptes et celui d’atteinte à la vie privée. Votre priorité doit être de cesser de réutiliser les anciens mots de passe, de renforcer la sécurité de votre messagerie et de rendre plus difficile le rapprochement des traces d’une même identité entre différents services.

Pour cet incident, la présence de numéros de téléphone, de cartes de paiement, de pièces d’identité officielles, de messages privés et de photos n’étant pas vérifiée, le plan d’action ne doit pas reposer sur ces catégories. En revanche, les mots de passe et les adresses e-mail présentant un risque certain, privilégiez des mots de passe uniques et l’authentification multifacteur pour tous les comptes liés. Compte tenu du caractère sensible de l’inscription, prenez au sérieux les messages contenant du chantage ou des menaces; évitez toutefois les réactions précipitées, comme payer, répondre ou cliquer sur des liens.