Netlog Fuite de données

Les champs de données dont la présence a été vérifiée sont les adresses e-mail et les mots de passe. Une adresse e-mail, même seule, donne aux attaquants un point d'appui pour envoyer des messages d'hameçonnage ciblés, de fausses alertes de connexion et des messages trompeurs utilisant le nom de l'ancien service. L'exposition d'informations relatives aux mots de passe augmente considérablement le risque, car l'utilisation du même mot de passe sur d'autres sites peut entraîner la compromission de comptes en dehors de Netlog. Dans le cas des anciens comptes de réseaux sociaux, notamment, des mots de passe choisis des années auparavant peuvent avoir été réutilisés sur différents services sans jamais être modifiés. Les conséquences de cette fuite peuvent donc se prolonger bien après la date de l'incident.

La présence d'une adresse e-mail associée aux données de mot de passe constitue directement une paire d'identifiants qu'un attaquant peut essayer. Cette paire peut servir à des attaques automatisées par essais de mots de passe. L'adresse e-mail peut également permettre de déduire quels autres comptes l'utilisateur possède. Si celui-ci utilise le même mot de passe pour sa messagerie, un réseau social ou un compte professionnel, le risque ne se limite pas à son ancien compte Netlog. L'évaluation de la sécurité doit donc porter avant tout sur les autres services où ce mot de passe a pu être utilisé, plutôt que sur le fait que le compte Netlog soit encore actif aujourd'hui.

Le périmètre vérifié de l'incident concerne les utilisateurs inscrits sur Netlog avant décembre 2012. Le service ayant cessé ses activités en 2015, les utilisateurs n'ont plus d'opérations à effectuer en se connectant à Netlog. Il reste toutefois possible que les mêmes identifiants soient valides sur d'autres comptes. Le nombre de comptes concernés dépasse 49 millions, et la date indiquée pour l'incident est novembre 2012. L'ajout ultérieur des enregistrements ne signifie pas que la fuite s'est produite à ce moment-là : leur découverte, leur vérification et leur ajout aux listes de sécurité ont eu lieu dans un second temps.

Les catégories de données exclues du périmètre sont au moins aussi importantes que celles qui ont été divulguées. L'annonce de l'entreprise précisait que la base de données ne contenait aucun numéro d'identification officiel, aucune donnée de carte de paiement ni aucune information bancaire. La présentation des risques liés à Netlog ne doit donc pas laisser entendre que des numéros de comptes financiers ou des documents d'identité officiels ont été divulgués. L'évaluation doit se limiter aux risques de prise de contrôle de comptes, de réutilisation des mots de passe, d'hameçonnage et d'ingénierie sociale liés à la paire adresse e-mail et mot de passe. Cette limite permet de se concentrer sur des mesures de sécurité concrètes sans alarmer inutilement les utilisateurs.

Les utilisateurs les plus exposés sont ceux qui ont continué à utiliser sur d'autres comptes le mot de passe qu'ils utilisaient à l'époque de Netlog. Pour les personnes qui conservent la même adresse e-mail depuis des années, notamment, un ancien mot de passe de réseau social peut constituer un identifiant précieux à essayer sur différents services. Conserver un ancien mot de passe en lui apportant de petites modifications, par exemple en ajoutant une année ou un symbole à la fin, n'élimine pas complètement le risque : les attaquants peuvent aussi essayer ce type de variantes. Les comptes de messagerie, de réseaux sociaux, de jeux, de forums, de stockage dans le cloud et d'achats en ligne doivent être vérifiés en priorité à cet égard.

Le deuxième groupe à risque est constitué des personnes qui utilisent toujours l'adresse e-mail de leur compte Netlog comme adresse de contact active. Elles peuvent être ciblées par de fausses alertes ou des messages de réinitialisation de mot de passe faisant référence aux informations de leur ancien compte. Le troisième groupe comprend les utilisateurs qui conservent les mêmes habitudes de création de mots de passe sur plusieurs comptes, à la maison, à l'école ou au travail. La fuite d'un seul ancien mot de passe peut fragiliser la sécurité de nombreux comptes si leurs mots de passe suivent un schéma commun. La vérification ne doit donc pas se limiter à une recherche du nom Netlog : tous les comptes créés à la même période doivent être examinés.

La première étape consiste à s'assurer que le mot de passe éventuellement utilisé sur Netlog n'est plus valide sur aucun compte actif aujourd'hui. Si le même mot de passe, ou une variante très proche, est encore utilisé, il faut immédiatement définir des mots de passe forts et uniques pour les comptes concernés. L'ordre de priorité est le suivant : les comptes de messagerie, les comptes principaux servant à réinitialiser les mots de passe, les services financiers, les profils sur les réseaux sociaux et les comptes professionnels. La protection de la messagerie est particulièrement importante, car les attaquants cherchent à accéder aux liens de réinitialisation de mot de passe envoyés par e-mail par la plupart des services.

Lors d'un changement de mot de passe, il faut choisir un mot de passe distinct pour chaque service et, si possible, utiliser un gestionnaire de mots de passe fiable. Sur les comptes qui prennent en charge l'authentification multifacteur, cette protection doit être activée. Les pages d'activité des comptes doivent être examinées afin de repérer les sessions inconnues, les connexions depuis différents pays ou appareils, les règles de transfert d'e-mails non autorisées et les applications connectées non reconnues. En cas d'activité suspecte, il faut fermer toutes les sessions, changer le mot de passe et vérifier l'adresse e-mail ainsi que le numéro de téléphone de récupération.

L'incident Netlog montre que les mots de passe utilisés sur d'anciens services peuvent présenter un risque même des années plus tard. Utiliser un mot de passe unique pour chaque compte doit être la règle de base pour une protection durable. Les utilisateurs devraient régulièrement dresser la liste de leurs anciens comptes et envisager de les supprimer ou de désactiver l'accès aux services qu'ils n'utilisent plus. Lorsqu'une adresse e-mail est utilisée depuis de nombreuses années, choisir une adresse de contact distincte pour les comptes critiques et utiliser une autre adresse pour les comptes liés au marketing, aux forums ou aux anciens réseaux sociaux peut réduire la surface d'attaque.

Des vérifications supplémentaires sont nécessaires pour les utilisateurs en entreprise. La réutilisation, sur des comptes professionnels, d'anciens mots de passe personnels des employés expose les ressources de l'entreprise à des attaques par essais de mots de passe. Il convient donc d'envisager conjointement des mesures de défense telles que des règles empêchant la réutilisation des mots de passe, l'authentification multifacteur, les alertes signalant des anomalies de session et les vérifications de mots de passe compromis. Les formations doivent expliquer que les anciennes fuites de données de réseaux sociaux et de forums peuvent encore affecter les comptes actuels. Des exemples concrets doivent illustrer pourquoi il est dangereux d'utiliser un même ancien mot de passe sur de nombreux services.

Vous pouvez vérifier votre adresse e-mail sur LeakData pour savoir si elle figure dans la fuite de données de Netlog. Si une correspondance est trouvée, cela signifie que votre adresse e-mail et le mot de passe utilisé à l'époque de Netlog sont présents dans le jeu de données issu de la fuite. Le service Netlog ayant cessé ses activités, il peut être impossible d'agir directement sur votre compte Netlog. La principale mesure consiste à protéger les autres comptes actifs sur lesquels le même mot de passe a pu être utilisé. Si vous vous souvenez de votre ancien mot de passe, traitez en priorité tous les services sur lesquels vous l'avez utilisé et remplacez-le, sur chacun d'eux, par un mot de passe unique.

Même si aucune correspondance n'est trouvée, réutiliser d'anciens mots de passe n'est pas sûr. Remplacer les mots de passe qui n'ont pas été modifiés depuis longtemps, activer l'authentification multifacteur et vérifier les options de récupération sont de bonnes habitudes de sécurité. La fuite de données de Netlog ne doit pas être associée à des données financières ou à des documents d'identité officiels. Toutefois, la paire adresse e-mail et mot de passe représente à elle seule un risque suffisamment sérieux pour la sécurité des comptes. Des vérifications régulières, l'utilisation d'un gestionnaire de mots de passe et le choix d'un mot de passe distinct pour chaque service constituent donc les bases d'une protection durable.