Fuite de données de piZap en 2017

Les types de données vérifiés sont les adresses e-mail, les informations sur le genre, les localisations géographiques, les noms, les mots de passe, les profils de réseaux sociaux, les noms d’utilisateur et l’activité sur le site web. Cette combinaison peut aider les attaquants non seulement à tenter d’utiliser des mots de passe, mais aussi à préparer des messages d’hameçonnage qui paraissent plus personnels. Les informations de profil sur un service de retouche photo, les liens vers les réseaux sociaux et les noms d’utilisateur facilitent le recoupement de l’identité en ligne d’un utilisateur.

Le champ contenant les mots de passe est le plus critique pour la sécurité des comptes. SHA-1 n’est pas considéré comme un standard robuste pour le stockage des mots de passe; les mots de passe faibles ou réutilisés sont prévisibles. Si le même mot de passe est utilisé pour la messagerie, les réseaux sociaux, les achats, les jeux ou les services cloud, le risque devient beaucoup plus important. Dans le cas présent, les données de carte de paiement, les numéros de pièce d’identité officielle et le contenu de messages privés ne doivent pas être considérés comme faisant partie des types de données vérifiés. L’évaluation du risque doit reposer sur les identifiants, les informations de profil et la probabilité d’une attaque ciblée d’ingénierie sociale.

La date retenue pour l’incident est le 7 décembre 2017, et la date d’ajout vérifiée est le 16 juillet 2019. Le périmètre est limité à 41 817 893 comptes uniques. La vente ultérieure des données avec d’autres collections issues de fuites a prolongé la période de découverte et de visibilité de l’incident. Les utilisateurs peuvent donc en constater les conséquences même plusieurs années après la date de la fuite. Cela ne signifie pas que les données viennent d’être divulguées, mais qu’un incident ancien a été vérifié et rendu visible plus tard.

Le nom de domaine vérifié est pizap.com. Le champ du pays a été laissé vide, car le pays de l’entreprise n’a pas pu être vérifié de manière fiable et cohérente. La fiche est marquée comme vérifiée et l’indicateur de données sensibles est désactivé, car les champs vérifiés ne relèvent pas de catégories particulières telles que les informations financières ou les données d’identification officielles. Néanmoins, la combinaison des profils de réseaux sociaux, des localisations géographiques et des données de mots de passe présente un risque élevé de prise de contrôle de comptes et de fraude ciblée.

Les personnes qui utilisent le mot de passe de leur compte piZap sur d’autres services sont les plus exposées. Un ancien compte de retouche photo peut sembler sans importance; pourtant, si le même mot de passe est valide sur un compte plus critique, les attaquants peuvent exploiter cette information. Pour les utilisateurs qui se sont connectés avec leur profil de réseau social, le lien vers ce profil peut aider les attaquants à retrouver la même personne sur différentes plateformes.

Le risque de recevoir des messages ciblés augmente pour les personnes qui utilisent le même nom d’utilisateur pour leurs créations, leurs contenus sur les réseaux sociaux ou leur participation à des communautés en ligne. Le rapprochement entre nom d’utilisateur et adresse e-mail peut servir à élaborer de fausses alertes de sécurité des comptes, des notifications d’accès à des photos, des demandes de vérification de connexion à un réseau social ou de renouvellement de mot de passe. Si des utilisateurs se sont inscrits avec une adresse e-mail professionnelle, il est également possible que le même mot de passe soit essayé sur des systèmes d’entreprise.

La première étape consiste à vérifier si l’ancien mot de passe éventuellement utilisé pour votre compte piZap est aussi utilisé sur d’autres comptes. Si le même mot de passe, ou un mot de passe similaire, est encore valide sur un service, remplacez-le immédiatement par un mot de passe unique et robuste. Donnez la priorité à vos comptes de messagerie, de réseaux sociaux, de stockage cloud, de paiement et à vos comptes professionnels. L’utilisation d’un gestionnaire de mots de passe réduit le risque de réutilisation.

Activez l’authentification multifacteur sur tous les comptes critiques qui la prennent en charge. Si vous vous êtes connecté à un compte de réseau social, vérifiez également les applications connectées et les autorisations accordées à des tiers. Fermez les sessions actives que vous ne reconnaissez pas, examinez attentivement les messages inattendus de réinitialisation de mot de passe et ne cliquez pas directement sur des liens suspects. Méfiez-vous également des faux messages portant sur piZap ou la retouche photo.

À long terme, il faut éliminer complètement la réutilisation des mots de passe. Les empreintes de mots de passe issues d’anciennes fuites peuvent être cassées ou recoupées avec d’autres jeux de données, même des années plus tard. Un changement ponctuel de mot de passe ne suffit donc pas : utiliser un mot de passe unique pour chaque service et vérifier régulièrement les sessions doivent devenir des habitudes durables. Pour les comptes critiques, privilégiez les clés d’accès ou les clés de sécurité matérielles lorsque ces options sont disponibles.

Les liens vers les réseaux sociaux et les noms d’utilisateur doivent également faire partie de votre stratégie de sécurité. Vérifiez régulièrement les informations que vous avez partagées sur d’anciens comptes, les services liés à vos comptes de réseaux sociaux et les applications auxquelles vous avez accordé des autorisations. Lorsque des informations de profil, des adresses e-mail et des données de mots de passe sont divulguées ensemble, les attaquants peuvent plus facilement créer des messages convaincants. La sécurité ne doit donc pas se limiter au changement des mots de passe.

Si vous voyez un résultat piZap sur LeakData, essayez d’abord de vous rappeler l’ancienne adresse e-mail, le nom d’utilisateur et le mot de passe que vous utilisiez pour ce service. Vérifiez si le même mot de passe est utilisé sur d’autres comptes et mettez fin à toute réutilisation. Si vous vous connectiez via un réseau social, vérifiez aussi, séparément, les autorisations des comptes liés et les accès accordés aux applications tierces.

La démarche la plus appropriée consiste à utiliser des mots de passe uniques pour tous vos comptes critiques, en commençant par votre compte de messagerie, à activer l’authentification multifacteur et à fermer les sessions que vous ne reconnaissez pas. Vous pouvez également évaluer plus précisément votre risque global en vérifiant quels types de données ont été associés à la même adresse e-mail dans d’autres fuites. Cette approche vous aide à comprendre pourquoi la fuite de données d’une ancienne plateforme de retouche photo peut encore présenter un risque de sécurité aujourd’hui et à prendre les mesures adaptées.