Exposition de données chez Opération Endgame liée à un logiciel malveillant

L’ensemble de données vérifié contenait des adresses e-mail et des données de mots de passe. Le jeu de données fourni par les forces de l’ordre comprenait 16 466 858 adresses e-mail uniques et environ 13,5 millions de mots de passe uniques. Les mots de passe ont été traités sous forme d’empreintes SHA-1 et NTLM plutôt qu’en clair. Ils ne figuraient ni à côté des adresses e-mail ni sous forme de paires associées à des comptes. Le nombre d’enregistrements correspond donc à des adresses e-mail uniques, et non à un nombre équivalent de personnes distinctes ou de combinaisons adresse e-mail et mot de passe. Les seules catégories de données confirmées sont les adresses e-mail et les mots de passe. L’opération Endgame ne correspond pas à une fuite de la base de données d’une entreprise : cette fiche décrit un incident lié à des logiciels malveillants, à partir de données saisies sur des infrastructures criminelles, afin que les victimes potentielles puissent savoir si leurs données ont été exposées.

Fin mai 2024, des forces de l’ordre de plusieurs pays et des équipes du secteur privé ont lancé l’opération coordonnée Endgame contre les infrastructures utilisées par des chargeurs de logiciels malveillants, notamment IcedID, SystemBC, Pikabot, Smokeloader et Bumblebee. Quatre personnes ont été arrêtées et plus d’une centaine de serveurs ont été mis hors service ou perturbés dans le monde. Les adresses e-mail et les empreintes de mots de passe trouvées dans les données saisies ont ensuite été intégrées à un dispositif de notification sécurisé pour permettre aux victimes potentielles de vérifier si leurs données étaient exposées. Les empreintes de mots de passe ont été dissociées des adresses e-mail : cet ensemble de données ne permet donc pas de déterminer quel mot de passe appartenait à une adresse donnée. La date de référence du 30 mai 2024 correspond à l’annonce publique de l’opération et du transfert des données. La fiche n’affirme pas qu’un site web précis a subi une fuite ni que tous les éléments proviennent d’une seule famille de logiciels malveillants.

Le risque le plus élevé concerne les personnes dont les appareils ont pu être touchés par l’activité d’un botnet ou d’un logiciel malveillant et qui ont réutilisé un mot de passe sur plusieurs services. La présence d’une adresse e-mail dans les données ne prouve pas, à elle seule, qu’un mot de passe précis a été publié à côté de cette adresse, qu’un compte reste compromis aujourd’hui ou qu’un logiciel malveillant est toujours actif sur l’appareil. Toutefois, tout ancien mot de passe encore utilisé sur d’autres comptes peut faciliter des tentatives de connexion automatisées et la prise de contrôle de comptes. La présence d’une adresse dans des données liées à des infrastructures criminelles peut également favoriser l’hameçonnage ciblé, les fausses alertes de sécurité, les pièges liés à la réinitialisation des mots de passe et les offres frauduleuses de nettoyage d’appareils. Chaque résultat doit être interprété en tenant compte d’une limite essentielle : le jeu de données des adresses e-mail et celui des mots de passe étaient distincts et n’étaient pas reliés entre eux.

Si votre adresse figure dans les résultats, sécurisez les appareils que vous utilisez avant de modifier vos identifiants; sinon, un logiciel malveillant actif pourrait capturer les nouveaux. Mettez à jour le système d’exploitation, le navigateur et les applications, effectuez une analyse complète avec un logiciel de sécurité de confiance, puis supprimez les extensions de navigateur, les éléments lancés au démarrage et les outils d’accès à distance que vous ne reconnaissez pas. Si le comportement suspect persiste, déconnectez l’appareil et envisagez de le faire examiner par un professionnel ou de procéder à une réinstallation complète. Depuis un appareil de confiance, modifiez les identifiants des services essentiels, en commençant par votre compte de messagerie principal. Remplacez chaque mot de passe réutilisé par un mot de passe unique généré aléatoirement ; de légères variantes ne suffisent pas. Fermez les sessions actives, vérifiez les adresses de récupération et les règles de transfert, puis activez l’authentification multifacteur ou les clés d’accès partout où ces options sont disponibles. Accédez directement aux services plutôt que de vous connecter à partir de liens figurant dans des messages d’alerte.

Utilisez un gestionnaire de mots de passe pour créer un mot de passe long et unique pour chaque compte, afin qu’un mot de passe volé ne permette pas d’accéder à d’autres services. Privilégiez les clés de sécurité ou les clés d’accès résistantes à l’hameçonnage pour vos comptes de messagerie, vos comptes financiers et vos comptes d’administration. Laissez les mises à jour automatiques, les pare-feu et la protection en temps réel activés, procurez-vous les logiciels uniquement auprès de sources officielles et évitez d’exécuter des pièces jointes inattendues. Vérifiez régulièrement les mots de passe enregistrés dans le navigateur, les sessions et les extensions. Les organisations peuvent réduire les conséquences du vol d’identifiants par des logiciels malveillants grâce à une protection administrée des terminaux, à une journalisation centralisée, à des contrôles des accès privilégiés et à une authentification multifacteur obligatoire. Des sauvegardes hors ligne testées facilitent la restauration lorsqu’un chargeur de logiciels malveillants conduit à une infection par rançongiciel. Ne faites pas confiance à un expéditeur au seul motif qu’il connaît une véritable adresse e-mail; vérifiez les notifications de sécurité par un canal indépendant et accédez vous-même au domaine connu du service.

Utilisez le champ de recherche sécurisé de cette page pour vérifier chacune de vos adresses e-mail actuelles ou anciennes utilisées à l’époque de l’opération Endgame. Une correspondance signifie que l’adresse figure parmi les 16 466 858 adresses e-mail uniques transférées à la suite de l’opération des forces de l’ordre; elle ne signifie pas qu’une empreinte de mot de passe précise était liée à cette adresse ni que votre appareil est actuellement infecté. Si vous obtenez un résultat, assurez-vous que vos appareils sont sécurisés avant de remplacer les anciens mots de passe réutilisés, puis examinez les sessions de votre messagerie et les paramètres de récupération, et activez l’authentification multifacteur sur les comptes importants. Les mots de passe ayant été séparés des adresses dans cet ensemble de données, évaluez leur exposition séparément, à l’aide d’un outil de vérification des mots de passe respectueux de la confidentialité ou d’un gestionnaire de mots de passe de confiance. Ne saisissez jamais de mot de passe, d’empreinte de mot de passe, de code à usage unique ni de coordonnées de paiement dans le champ de recherche. Aucun résultat ne constitue une garantie absolue, car une autre adresse, un jeu de données lié à des logiciels malveillants non identifié ou un autre incident peut vous concerner. Si un appareil présente des signes suspects, examinez-le en plus de modifier les identifiants de vos comptes.