Fuite de données chez Nitro

Les catégories de données vérifiées sont les adresses e-mail, les noms complets et les mots de passe. Le fait que les mots de passe soient stockés sous forme de hachages bcrypt ne signifie pas que l’attaquant a directement accès aux mots de passe en clair; toutefois, ces valeurs de hachage peuvent servir à des tentatives de découverte des mots de passe hors ligne. L’association des adresses e-mail et des noms renforce les tentatives d’hameçonnage ciblé, comme les faux partages de fichiers, les demandes de signature, les alertes de renouvellement d’abonnement ou les messages de réinitialisation de mot de passe. Le fait que Nitro soit un outil fréquemment utilisé avec des documents professionnels peut également favoriser des usages frauduleux impliquant les domaines de messagerie d’entreprise et les processus de traitement des documents. Le risque doit donc être abordé à la fois sous l’angle de la sécurité des comptes individuels et de celle de l’environnement professionnel.

La date de la violation de données est confirmée au 28 septembre 2020, et celle de son référencement au 19 janvier 2021. Le chiffre principal utilisé dans le résultat de recherche de LeakData est de 77 159 696 adresses e-mail uniques. Certains rapports sur l’incident mentionnent des titres de documents convertis et des informations supplémentaires apparentées à des journaux de service; toutefois, les catégories de données vérifiées sur lesquelles porte la recherche sur cette page se limitent aux adresses e-mail, aux noms et aux valeurs de hachage des mots de passe. Cette distinction est importante pour indiquer clairement le risque réel pour la sécurité des comptes, sans présenter d’affirmations excessives à l’utilisateur. L’incident concerne le service Nitro PDF; les autres marques Nitro ou les produits portant un nom similaire doivent être exclus de ce périmètre.

Le risque est le plus élevé pour les personnes qui ont utilisé le service Nitro avant 2020, saisi leur adresse e-mail pour convertir des PDF en ligne ou partager des documents, effectué des transactions avec une adresse rattachée à un domaine d’entreprise et réutilisé le même mot de passe sur d’autres services. Les utilisateurs inscrits avec une adresse e-mail professionnelle doivent être particulièrement vigilants face aux faux messages portant sur la signature de documents, les contrats, les factures, les devis, les dossiers de ressources humaines ou les réinitialisations de mot de passe. Si la même adresse e-mail est également utilisée pour des services de stockage cloud, des logiciels bureautiques, des portails clients ou des comptes de paiement, les attaquants peuvent recouper ces informations lors de tentatives de prise de contrôle de comptes. Les personnes qui n’utilisent plus leur ancien compte Nitro ne doivent pas non plus être considérées comme à l’abri du risque, car les adresses e-mail et les noms divulgués peuvent servir à des messages frauduleux même des années plus tard.

Le mot de passe du compte Nitro, ainsi que celui de tout autre compte créé avec le même mot de passe, doit être changé immédiatement. Il convient de privilégier un mot de passe unique, long et aléatoire pour chaque service, d’utiliser un gestionnaire de mots de passe et d’activer l’authentification multifacteur pour les comptes critiques. Les personnes utilisant une adresse e-mail professionnelle doivent aussi vérifier le domaine de l’expéditeur dans les messages portant sur le partage de fichiers et la signature électronique. Pour réinitialiser un mot de passe, il faut accéder au service en saisissant manuellement son adresse web officielle connue, plutôt qu’en ouvrant un lien dans le message. En cas de réception d’une invitation à consulter un document, d’une facture, d’une confirmation de paiement ou d’une demande de signature inattendue, il faut vérifier l’identité de l’interlocuteur par un autre canal avant d’ouvrir une pièce jointe. Les utilisateurs en entreprise doivent indiquer à l’équipe de sécurité si d’autres employés utilisant le même domaine sont concernés.

Le risque durable lié à ce type de violation de données dans les services documentaires vient du rapprochement des adresses e-mail avec les relations professionnelles et les listes de mots de passe. Les utilisateurs doivent dresser l’inventaire de leurs anciens comptes, fermer ceux des services inutilisés, examiner régulièrement l’historique des sessions de leurs comptes de messagerie et maintenir leurs options de récupération à jour. Les organisations doivent renforcer l’authentification unique, l’authentification multifacteur, les contrôles des autorisations accordées aux applications externes et les processus de surveillance des domaines pour les services de conversion de documents et de partage de fichiers. Même si les valeurs de hachage des mots de passe sont stockées à l’aide d’algorithmes robustes, la réutilisation de mots de passe faibles fragilise les défenses. Il faut donc mettre en place conjointement des règles limitant la réutilisation des mots de passe, des formations pour les employés et des procédures d’alerte en cas de tentatives de connexion inhabituelles.

Vous pouvez vérifier si votre adresse e-mail figure dans la fuite de données de Nitro en effectuant une recherche sur LeakData. Si une correspondance est trouvée, sécurisez d’abord votre compte Nitro et tous les autres comptes sur lesquels vous utilisez la même adresse e-mail. Ne réutilisez pas d’anciens mots de passe, examinez votre historique de connexion et vérifiez les messages suspects de réinitialisation de mot de passe depuis l’écran de sécurité du service, plutôt que de simplement les archiver. Si votre compte professionnel semble concerné, signalez-le à l’équipe de sécurité en précisant la date, le nom du service et les catégories de données visibles. Ces mesures réduisent la probabilité que des données datant de 2020 soient réutilisées aujourd’hui pour de l’hameçonnage, des attaques visant à deviner des mots de passe et des fraudes par e-mail en entreprise.