Liste de données utilisée pour le spam: Onliner Spambot

Les catégories de données confirmées pour l’incident Onliner Spambot sont les adresses e-mail et les mots de passe. Les adresses e-mail peuvent servir à envoyer du spam, à mener des tentatives d’hameçonnage et à sélectionner des cibles. Lorsqu’elles sont associées à des informations sur les mots de passe, le risque devient plus sérieux : des attaquants peuvent tenter de prendre le contrôle de comptes en testant la même combinaison d’adresse e-mail et de mot de passe sur différents services. Ces attaques présentent un risque élevé, surtout pour les personnes qui utilisent le même mot de passe sur plusieurs comptes. Ce risque peut concerner les comptes de messagerie, les réseaux sociaux, les sites marchands, les jeux, le stockage dans le cloud et les outils professionnels.

Dans ce jeu de données, les champs tels que le numéro de téléphone, l’adresse postale, les données de carte de paiement, le numéro de pièce d’identité officielle ou les messages privés ne figurent pas parmi les catégories de données vérifiées. Le risque principal tient à l’association entre l’adresse e-mail et le mot de passe. Il n’est pas nécessairement possible de savoir, pour chaque utilisateur, si le mot de passe est en texte clair ou dans un autre format. Toutefois, la présence d’un champ de mot de passe impose de changer rapidement les mots de passe réutilisés. Si d’anciens mots de passe sont toujours utilisés sur d’autres comptes, le risque de sécurité persiste, même plusieurs années après l’incident.

Le contexte d’un robot d’envoi de spam présente également une autre forme de menace. Des comptes de messagerie compromis ou dont le mot de passe a été deviné peuvent servir à envoyer des messages malveillants. Cette situation peut toucher non seulement le titulaire du compte, mais aussi les amis, clients ou collègues qui reçoivent ses e-mails. Une fausse facture, une notification d’expédition, une invitation à une réunion ou une alerte de sécurité provenant d’une adresse connue peut sembler plus crédible. C’est pourquoi un résultat concernant Onliner Spambot met en évidence à la fois le risque lié à la réutilisation des mots de passe et celui d’une utilisation malveillante du compte de messagerie.

Le périmètre vérifié est le suivant : le jeu de données Onliner Spambot, daté du 28 août 2017, concerne 711 477 622 comptes uniques; il a été ajouté aux dossiers de fuites de données vérifiées le 29 août 2017; les champs divulgués sont les adresses e-mail et les mots de passe. Ce dossier correspond à une liste destinée à l’envoi de spam et ne doit pas être considéré comme la base de données clients d’une organisation précise. Il est donc normal que les champs du domaine et du site web restent vides : l’incident ne doit pas être attribué à une seule marque ou à un seul système de comptes utilisateurs.

Dans cet incident, la présence d’un utilisateur dans les données ne suppose pas qu’il se soit inscrit sur un site portant ce nom. Son adresse e-mail peut avoir figuré sur des listes issues de différentes sources, puis avoir été utilisée ou testée dans le cadre d’une opération d’envoi de spam. Par conséquent, la correspondance affichée sur l’écran des résultats ne signifie pas que l’utilisateur s’est inscrit à un service appelé Onliner Spambot. L’interprétation la plus juste est que l’adresse, ainsi que les éventuelles informations sur le mot de passe, a été trouvée dans des fichiers de données utilisés pour une opération d’envoi d’e-mails malveillants à grande échelle.

Les champs de données non vérifiés ne doivent pas être ajoutés à la liste. Pour cet incident, les données de carte de paiement, les coordonnées bancaires, les informations de santé, l’adresse postale ou le numéro de téléphone ne doivent pas être présentés aux utilisateurs comme ayant été divulgués, puisque leur présence n’a pas été vérifiée. En revanche, les champs d’adresse e-mail et de mot de passe nécessitent des mesures de sécurité rigoureuses pour les comptes. Un périmètre limité mais exact permet d’éviter à la fois de susciter des craintes injustifiées et de négliger le risque réel lié à la réutilisation des mots de passe.

Les personnes qui utilisent le même mot de passe sur plusieurs services sont les plus exposées. Si un mot de passe a été utilisé sur un ancien forum, un site marchand ou un compte de jeu, puis réutilisé pour la messagerie, les réseaux sociaux ou des comptes professionnels, des attaquants peuvent tester ces informations sur d’autres systèmes. Si l’utilisateur ne se souvient pas des comptes sur lesquels ce mot de passe a été utilisé, il doit commencer par les comptes essentiels et adopter un mot de passe unique pour chaque compte. Le compte de messagerie doit être protégé en priorité, car il joue un rôle central dans les procédures de réinitialisation des mots de passe.

Le deuxième groupe à risque comprend les salariés dont l’adresse e-mail professionnelle figure dans le jeu de données. La présence de l’adresse et du mot de passe d’un salarié sur une telle liste ne prouve pas qu’un accès direct aux systèmes de l’entreprise a eu lieu; elle fournit toutefois aux attaquants des identifiants qu’ils peuvent tester. L’authentification multifacteur et le suivi des échecs de connexion sont particulièrement importants pour les comptes de la direction et des équipes financières, des ressources humaines, de l’assistance et des services techniques. Lorsqu’un grand nombre de correspondances concernent un même domaine, les organisations doivent procéder à des réinitialisations groupées des mots de passe et envoyer des notifications de sensibilisation.

Le troisième groupe à risque comprend les personnes qui continuent d’utiliser d’anciennes adresses e-mail ou de construire leurs mots de passe selon d’anciens modèles. Même si la fuite de données est ancienne, l’utilisateur peut continuer à suivre le même modèle de mot de passe sur ses comptes actuels. Des attaquants peuvent tenter de trouver des comptes valides en comparant d’anciennes listes à de nouveaux jeux de données. Il ne faut donc pas se limiter à la date de 2017 et supposer que le risque appartient au passé : la vraie question est de savoir si les mêmes informations sont encore utilisées aujourd’hui sur d’autres comptes.

Les utilisateurs dont les comptes apparaissent dans les résultats liés à Onliner Spambot doivent d’abord changer le mot de passe de tous les comptes sur lesquels ils utilisent un mot de passe identique ou similaire. La priorité doit aller aux comptes de messagerie, aux services bancaires et de paiement, aux réseaux sociaux, aux outils professionnels, au stockage dans le cloud et aux comptes de sites marchands fréquemment utilisés. Les nouveaux mots de passe doivent être uniques, longs et pouvoir être conservés dans un gestionnaire de mots de passe. Réutiliser un ancien mot de passe en le modifiant légèrement n’offre pas une sécurité suffisante.

La deuxième étape consiste à activer l’authentification multifacteur. L’authentification via une application ou une clé de sécurité matérielle contribue à protéger le compte, même si le mot de passe est compromis. Il faut vérifier, dans les paramètres du compte, les sessions ouvertes, les appareils inconnus, les adresses e-mail de récupération et l’activité de connexion récente. Les sessions suspectes doivent être fermées, les informations de récupération mises à jour et les règles de transfert des e-mails examinées.

La troisième étape consiste à rester vigilant face au spam et aux messages frauduleux. Les adresses associées à cet incident pouvant servir à des opérations d’envoi d’e-mails malveillants, les utilisateurs doivent se méfier des pièces jointes inattendues, des liens vers des factures, des notifications d’expédition et des alertes de sécurité des comptes. Plutôt que de cliquer sur les liens, il convient de saisir manuellement l’adresse du service concerné dans le navigateur. Les codes de vérification reçus de manière inattendue ne doivent être communiqués à personne. Les utilisateurs de comptes professionnels doivent signaler les messages suspects à l’équipe de sécurité.

Utiliser un mot de passe unique pour chaque compte est la règle de base d’une protection durable. Un gestionnaire de mots de passe facilite la gestion de mots de passe robustes et aléatoires pour des centaines de comptes différents. Les utilisateurs doivent abandonner les mots de passe anciens et réutilisés, laisser les notifications de sécurité activées pour les comptes importants et prendre l’habitude de vérifier régulièrement si leurs données figurent dans des fuites. Ainsi, les informations présentes dans une liste utilisée par un robot d’envoi de spam peuvent être rendues inutilisables sans que le risque s’étende à d’autres comptes.

Pour les organisations, une stratégie durable consiste à surveiller régulièrement la présence des adresses e-mail des salariés dans des jeux de données externes et à donner la priorité aux comptes disposant de privilèges élevés. Les tentatives de connexion échouées, les localisations inhabituelles, les sessions ouvertes sur de nouveaux appareils et les modifications des règles de transfert des e-mails doivent être surveillées. La combinaison de formations visant à réduire la réutilisation des mots de passe, d’une authentification multifacteur obligatoire, de contrôles de connexion fondés sur le risque et de la prise en charge des clés de sécurité diminue la probabilité d’une prise de contrôle des comptes.

Cet incident rappelle également le rôle central du compte de messagerie dans l’identité numérique. Si un compte de messagerie est compromis, un attaquant peut lancer une procédure de réinitialisation du mot de passe sur de nombreux services. Un mot de passe unique pour ce compte, une authentification forte à deux facteurs, des informations de récupération à jour et des vérifications régulières des sessions sont donc essentiels. Les utilisateurs doivent fermer leurs anciens comptes, éviter de se servir d’adresses qu’ils n’utilisent plus pour accéder à des services essentiels et prendre les alertes de sécurité au sérieux.

Si votre adresse e-mail apparaît dans la fuite de données Onliner Spambot, n’en déduisez pas que vous vous êtes inscrit sur un site web précis. L’interprétation la plus juste est que votre adresse e-mail et, dans certains cas, des informations sur votre mot de passe ont été trouvées dans des jeux de données utilisés pour des opérations malveillantes d’envoi de spam. La priorité est de déterminer si le même mot de passe est utilisé sur d’autres comptes et de remplacer rapidement les mots de passe réutilisés.

Si la vérification révèle une correspondance, vous devez changer les mots de passe de vos comptes essentiels, en commençant par votre compte de messagerie, activer l’authentification multifacteur, examiner les sessions actives et surveiller les messages suspects. Pour les adresses professionnelles, une surveillance par domaine facilite l’identification des comptes de salariés à haut risque à traiter en priorité. Des vérifications régulières des dossiers aident à détecter tôt le risque lié à la réutilisation d’anciens jeux de données dans de nouvelles attaques.