Exposition présumée de données chez Pemiblanc

Les principaux champs du jeu de données Pemiblanc sont les adresses e-mail et les mots de passe. Une adresse e-mail seule peut servir à envoyer du spam, des messages d’hameçonnage, de fausses alertes de connexion et des messages de réinitialisation de compte. Le champ du mot de passe présente toutefois le risque le plus critique : si le même mot de passe est utilisé sur plusieurs services, des attaquants peuvent tenter de prendre le contrôle de comptes sur différents sites au moyen de tentatives de connexion automatisées. Cette liste n’est donc pas une simple fuite de coordonnées, mais une compilation d’identifiants qui présente un risque direct d’accès aux comptes.

Les catégories de données ne comprennent pas de cartes de paiement, de pièces d’identité officielles, de messages privés, de données de santé, d’adresses postales ni d’informations sur des comptes financiers. L’évaluation des risques doit se fonder sur les paires associant une adresse e-mail et un mot de passe. Comme la plupart des utilisateurs ne peuvent pas déterminer avec certitude de quel service proviennent les mots de passe, tous les comptes importants sur lesquels le même mot de passe, ou un mot de passe similaire, est utilisé sont exposés au risque.

Pour Pemiblanc, la date de l’incident à retenir est le 2 avril 2018, la date d’ajout de la fiche est le 9 juillet 2018 et le nombre de comptes concernés est de 110 964 206. Bien que le domaine soit enregistré sous le nom pemiblanc.com, l’incident ne doit pas être présenté comme une fuite unique provenant de la base de données clients d’une marque. Les éléments disponibles montrent que la liste est une compilation de paires d’adresses e-mail et de mots de passe issues de différentes fuites, susceptible d’être utilisée pour des attaques visant à prendre le contrôle de comptes.

Les fiches de la catégorie « non vérifié » ne doivent pas être validées. Cette classification ne signifie pas que la liste ne contient aucune donnée personnelle réelle; elle impose simplement davantage de prudence, car l’origine et l’exactitude de toutes les lignes ne peuvent pas être établies de manière définitive. Le texte se concentre donc sur les mesures de sécurité que l’utilisateur doit prendre, sans affirmer une origine certaine ni attribuer la responsabilité à une seule entreprise.

Le risque est le plus élevé pour les personnes qui réutilisent la même adresse e-mail et le même mot de passe sur plusieurs sites. Si le même mot de passe a servi pour d’anciens comptes de forums, de jeux, de boutiques en ligne, de réseaux sociaux ou de messagerie, cette liste facilite les tentatives rapides des attaquants. Les salariés qui s’inscrivent à des services personnels avec leur adresse e-mail professionnelle sont également exposés, car la réutilisation des mots de passe accroît la probabilité d’attaques contre des comptes professionnels, des services cloud ou des portails internes.

Les comptes dont le mot de passe n’a pas été changé depuis longtemps, les comptes familiaux partagés, les identifiants créés à partir de mots faciles à retenir sans gestionnaire de mots de passe et les comptes dont l’authentification à deux facteurs est désactivée sont plus vulnérables. Même si la liste est ancienne, le risque ne peut pas être considéré comme écarté : les mots de passe réutilisés peuvent être testés sur différents services, même des années plus tard.

Les utilisateurs pour lesquels une correspondance avec Pemiblanc est trouvée doivent d’abord recenser tous les comptes qui utilisent le même mot de passe et choisir un mot de passe unique et robuste pour chacun. La priorité doit notamment aller aux comptes de messagerie, aux services bancaires et de paiement, aux réseaux sociaux, aux sites marchands, au stockage cloud et aux comptes professionnels. Le changement de mot de passe doit être envisagé non seulement pour le service associé à Pemiblanc, mais aussi pour tous les comptes sur lesquels le même mot de passe est réutilisé.

Il convient d’activer la vérification en deux étapes partout où elle est disponible, de passer en revue les sessions récentes et les appareils connectés, et de fermer les sessions non reconnues. L’adresse de récupération et le numéro de téléphone du compte de messagerie doivent être vérifiés, et les messages inattendus de réinitialisation de mot de passe doivent retenir l’attention. Un gestionnaire de mots de passe facilite la conservation de mots de passe longs et uniques pour chaque service.

À long terme, la protection de base consiste à cesser complètement de réutiliser les mots de passe et à recourir à une vérification supplémentaire pour les comptes importants. Choisir un mot de passe unique pour chaque compte réduit fortement l’impact des listes de bourrage d’identifiants : une ancienne fuite touchant un service ne peut pas se répercuter sur d’autres comptes. Les utilisateurs doivent tout particulièrement considérer leur compte de messagerie comme le point central de leur sécurité, lui réserver un mot de passe unique et rendre obligatoire une vérification supplémentaire.

Les organisations peuvent aussi surveiller l’apparition des adresses e-mail de leurs salariés dans les listes d’identifiants connues, appliquer des politiques qui réduisent la réutilisation des mots de passe et examiner les comportements de session des comptes à haut risque. Les anciennes listes de mots de passe n’ayant pas totalement disparu, les fuites passées doivent être considérées non seulement comme des données historiques, mais aussi comme un signal pertinent pour la sécurité actuelle des comptes.

La vérification avec LeakData indique si l’adresse e-mail recherchée figure dans le jeu de données Pemiblanc. Un résultat positif signifie que l’adresse e-mail apparaît dans une liste de bourrage d’identifiants aux côtés d’un mot de passe. Il ne prouve toutefois pas, à lui seul, de quel service provient ce mot de passe ni l’origine exacte de chaque ligne de la liste. Compte tenu de cette limite, l’utilisateur doit agir avec prudence, mais rapidement.

Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans ce jeu de données; il n’exclut pas une présence dans d’autres fuites. Les utilisateurs qui obtiennent un résultat positif doivent en priorité changer le mot de passe de tous les comptes sur lesquels ils utilisent le même mot de passe, activer l’authentification à deux facteurs, surveiller les sessions et utiliser un gestionnaire de mots de passe. L’approche la plus appropriée consiste à abandonner tous les mots de passe anciens ou réutilisés et à employer des identifiants de connexion uniques pour chaque compte.