NetEase Exposition présumée de données

Les catégories de données vérifiées sont les adresses e-mail et les mots de passe. L’adresse e-mail est le principal identifiant permettant aux attaquants de reconnaître l’utilisateur ciblé et de rechercher la même identité sur d’autres plateformes. Le mot de passe augmente directement le niveau de risque; en particulier, les mots de passe stockés en clair ou sous une forme peu résistante aux attaques par cassage peuvent servir à des tentatives automatisées de prise de contrôle de comptes. Si un utilisateur a réutilisé le même mot de passe pour sa messagerie, son profil sur un réseau social, son compte de jeu, un site marchand, son stockage dans le cloud ou des services professionnels, une seule fuite peut avoir des répercussions sur de nombreux comptes. La fuite de données de NetEase n’est donc pas seulement un problème touchant un ancien service de messagerie : c’est un incident de sécurité critique qui illustre les conséquences à long terme de la réutilisation des mots de passe.

L’association d’une adresse e-mail et d’un mot de passe est l’une des combinaisons les plus propices aux attaques par bourrage d’identifiants. Les attaquants peuvent essayer ces mêmes informations sur différentes plateformes pour déterminer quels comptes sont encore accessibles. Si ces tentatives aboutissent à la compromission de la boîte de réception, les liens de réinitialisation des mots de passe peuvent aussi permettre d’accéder à d’autres comptes. Même si l’adresse e-mail n’est plus active, elle peut avoir servi à s’inscrire à différents services au fil des années. Cela ne réduit pas les effets des anciennes fuites; au contraire, les comptes oubliés, les mots de passe faibles et les identifiants de connexion restés inchangés depuis longtemps font persister le risque.

La fiche concerne 234 842 089 comptes, et la date de l’incident a été enregistrée comme étant le 19 octobre 2015. La date d’ajout est le 9 octobre 2016. Les champs de données se limitent aux adresses e-mail et aux mots de passe; la présence d’autres données personnelles, comme le nom complet, le numéro de téléphone, l’adresse postale, les informations de paiement ou une pièce d’identité officielle, n’a pas été vérifiée dans cet incident. Le niveau de vérification étant limité, ni le nombre d’utilisateurs ni l’ensemble du jeu de données ne doivent être présentés comme des informations précises officiellement communiquées par l’entreprise. Néanmoins, les indices de nombreuses correspondances avec de véritables mots de passe montrent que les utilisateurs ne doivent pas ignorer cet incident. Même lorsque la vérification est limitée, les mesures de protection ne doivent pas être reportées si la fuite contient des mots de passe.

Il est important de bien comprendre ces limites. Ce jeu de données doit être évalué à partir des identifiants de connexion associés à NetEase ou au nom de domaine 163.com. En l’absence de vérification fiable de la présence d’autres champs que l’adresse e-mail et le mot de passe, aucun autre type de données n’a été ajouté à la description. La fiche ne porte pas la mention « données sensibles »; toutefois, les conséquences pour la sécurité sont importantes en raison de la présence de mots de passe. Pour l’utilisateur, la question essentielle est de savoir où ce mot de passe a été réutilisé. Si le même mot de passe a servi sur différents services, cette fuite pourrait continuer à présenter un risque, même des années plus tard.

Les utilisateurs les plus exposés sont ceux qui réutilisent le mot de passe de leur compte NetEase ou 163.com sur d’autres services. Si la même combinaison d’adresse e-mail et de mot de passe est valide sur d’autres plateformes, les attaquants peuvent l’utiliser contre différents comptes à l’aide d’outils permettant de tester rapidement les identifiants. Les personnes qui utilisent d’anciens services de messagerie chinois, celles qui choisissent la même adresse e-mail pour leurs comptes sur des jeux et des forums internationaux, les titulaires de comptes dont le mot de passe n’a pas changé depuis longtemps et les personnes qui ont oublié leurs anciens comptes doivent être particulièrement vigilants. Le fait qu’un mot de passe ait été divulgué il y a des années ne signifie pas qu’il est désormais sûr; des jeux de données très anciens peuvent encore circuler dans des listes utilisées pour le bourrage d’identifiants.

Le deuxième groupe à risque comprend les personnes qui utilisent cette même adresse e-mail comme adresse de récupération. Si un attaquant accède à un compte de messagerie, il peut exploiter la procédure de réinitialisation des mots de passe des comptes qui y sont liés. Par ailleurs, l’inscription à de nombreux services avec la même adresse e-mail facilite le rapprochement des traces numériques de l’utilisateur. Le risque est plus élevé pour les personnes qui utilisent leur adresse e-mail professionnelle sur des services personnels : une fuite concernant un service personnel peut ouvrir la voie à des tentatives d’hameçonnage visant un compte professionnel. Les utilisateurs doivent donc examiner non seulement leur mot de passe NetEase, mais aussi, individuellement, tous les comptes associés à cette même adresse e-mail et aux mots de passe utilisés au fil du temps.

La première étape consiste à s’assurer que le mot de passe du compte NetEase ou 163.com n’est plus utilisé sur aucun autre compte. Si ce mot de passe a été réutilisé sur d’autres services, il faut définir un mot de passe robuste et unique pour chacun des comptes concernés. Un gestionnaire de mots de passe facilite le stockage sécurisé de mots de passe longs et aléatoires. L’authentification multifacteur doit être activée sur les comptes essentiels, comme la messagerie, les profils sur les réseaux sociaux, le stockage dans le cloud, les services financiers et les comptes professionnels. Il faut également vérifier les options de réinitialisation des mots de passe, les adresses e-mail de récupération et les numéros de téléphone associés.

La deuxième étape consiste à examiner l’historique des connexions suspectes et les notifications de sécurité. Les utilisateurs doivent prêter attention aux appareils inconnus, aux connexions inattendues et aux e-mails inhabituels de réinitialisation de mot de passe. Les règles de transfert, les filtres automatiques et les paramètres de récupération du compte de messagerie doivent être vérifiés; les attaquants peuvent tenter de transférer des messages sans laisser de trace permanente dans les comptes auxquels ils ont accédé. Si le compte NetEase n’est plus utilisé, il convient d’envisager sa fermeture ou la mise à jour de ses informations d’accès. Pour les anciens comptes devenus inutilisables, la mesure la plus importante est de s’assurer que le même mot de passe n’est pas utilisé ailleurs.

L’incident NetEase montre comment la réutilisation d’un mot de passe peut constituer une faille de sécurité, même des années plus tard. Pour une protection à long terme, il faut utiliser un mot de passe unique pour chaque service, activer l’authentification multifacteur sur tous les comptes qui la prennent en charge et examiner régulièrement l’historique des sessions des comptes essentiels. Les adresses e-mail peuvent aussi être distinctes selon leur usage; lorsque les inscriptions à des services personnels, les comptes professionnels et les comptes financiers sont liés à la même adresse e-mail, une seule fuite a des conséquences plus étendues. Le compte de messagerie doit bénéficier d’une protection particulièrement forte, car il constitue le principal point de récupération des autres comptes.

Les utilisateurs ne doivent pas considérer les anciennes fuites de données comme de simples informations historiques. Les anciens jeux de données peuvent servir de listes de départ pour de nouvelles attaques. Les attaquants peuvent essayer des adresses e-mail et des mots de passe divulgués des années auparavant sur de nouvelles plateformes, ou s’en servir pour rendre leurs messages d’hameçonnage plus convaincants. Un gestionnaire de mots de passe, une règle imposant un mot de passe unique par compte, une clé de sécurité ou une application d’authentification, le nettoyage des anciens comptes et des contrôles réguliers des comptes doivent donc faire partie d’une routine de sécurité durable. Une fois toute réutilisation des mêmes mots de passe éliminée, les effets de ces anciennes fuites sont sensiblement réduits.

La vérification NetEase sur LeakData vous aide à savoir si votre adresse e-mail est associée à cette fuite de données. Si le résultat est positif, commencez par identifier tous les comptes sur lesquels vous avez utilisé le même mot de passe et créez un mot de passe unique pour chacun d’eux. Activez l’authentification multifacteur sur votre compte de messagerie, vérifiez les options de récupération et fermez les sessions que vous ne reconnaissez pas. Examinez également les anciens comptes de forums, de jeux, de sites marchands ou de services cloud ouverts avec la même adresse e-mail. Fermer les comptes que vous n’utilisez plus ou mettre à jour leurs mots de passe réduit les possibilités d’exploiter d’anciennes fuites pour de nouvelles attaques.

Même si votre adresse e-mail n’apparaît pas dans cette fuite, d’autres jeux de données peuvent présenter un risque similaire si vous utilisez le même mot de passe depuis longtemps. Il est donc nécessaire de cesser complètement de réutiliser les mots de passe et de vérifier régulièrement vos comptes essentiels, sans vous fier au résultat d’une seule vérification. Bien que le niveau de vérification de la fuite de données NetEase reste limité pour cette fiche, la présence d’une combinaison d’adresse e-mail et de mot de passe constitue un avertissement suffisamment sérieux pour l’utilisateur. L’approche la plus appropriée consiste à utiliser un mot de passe unique sur chaque service, à activer l’authentification multifacteur et à passer par la page de connexion officielle plutôt que par les liens contenus dans des messages suspects.