Exposition présumée de données chez PKMN.NET

Avant la création de la fiche PKMN.NET, les fiches existantes ont été examinées pour rechercher des correspondances concernant le titre, le nom de domaine, les noms de marques similaires, la date de l’incident et le nombre d’inscriptions. Aucune fiche décrivant le même incident n’ayant été trouvée, une fiche distincte a été conservée. Les fiches portant des noms similaires, mais concernant d’autres domaines ou d’autres incidents, n’ont pas été prises en compte dans cette décision.

De légers écarts peuvent apparaître entre le nombre d’enregistrements figurant dans les listes concernées et le nombre d’entrées dont les détails peuvent être vérifiés. Ils peuvent s’expliquer par des différences entre les lignes brutes, les comptes uniques, les adresses e-mail en double, les enregistrements nettoyés ou les jeux de données redistribués sous une autre forme. Cette page retient le chiffre de 52 497, étayé de manière cohérente avec les types de données, plutôt que le nombre le plus élevé observé.

L’incident PKMN.NET concernant des comptes d’une communauté de joueurs et d’un forum de fans, le risque de recoupement des noms d’utilisateur est particulièrement important. Les noms d’utilisateur d’un forum peuvent rester inchangés pendant des années et être réutilisés sur différents comptes de jeux, de réseaux sociaux ou de communautés.

Dans cet incident, les mots de passe sont répertoriés sous forme de hachages, et non en clair. Les anciens hachages de forums peuvent néanmoins présenter un risque en raison d’algorithmes faibles ou de tentatives de cassage peu coûteuses. Lorsqu’ils sont associés à un nom d’utilisateur et à une adresse e-mail, la probabilité de relier plusieurs profils augmente.

Dans le cas de PKMN.NET, le risque est plus élevé que pour une simple fuite d’adresses e-mail, car des données de mots de passe hachés provenant du logiciel du forum ont été trouvées. Les données de mots de passe réduisent le temps consacré par les attaquants aux essais successifs, facilitent les tentatives de connexion automatisées sur d’autres services où le même mot de passe est utilisé et rendent les messages de réinitialisation de mot de passe plus convaincants.

Une adresse e-mail seule peut sembler être une donnée personnelle de portée limitée, mais elle devient un puissant vecteur d’attaque lorsqu’elle est associée à un nom d’utilisateur, une adresse IP, un mot de passe ou des informations de profil. Si l’utilisateur emploie la même adresse e-mail pour ses comptes professionnels, d’achats, de forums, de jeux, de services financiers ou de réseaux sociaux, les conséquences peuvent dépasser la plateforme concernée.

Même si cet incident est ancien, son intérêt en matière de sécurité demeure. Une part importante des utilisateurs réemploie d’anciens modèles de mots de passe en y apportant de petites modifications. Une ancienne fuite comme celle de PKMN.NET peut donc être exploitée, des années plus tard, pour deviner des mots de passe, mener des attaques par bourrage d’identifiants et lancer des tentatives d’hameçonnage ciblé.

La première étape consiste à vous rappeler quelle adresse e-mail et quel mot de passe vous avez pu utiliser autrefois sur PKMN.NET ou pkmn.net. Si vous avez utilisé la même famille de mots de passe sur d’autres comptes, modifier uniquement celui du site concerné ne suffit pas : tous les mots de passe réutilisés doivent être remplacés par des mots de passe uniques et aléatoires.

L’utilisation d’un gestionnaire de mots de passe est l’une des mesures les plus efficaces après cet incident. Créer un mot de passe distinct pour chaque site empêche qu’une seule fuite ne se propage en chaîne à d’autres comptes. Il convient également de vérifier les anciens mots de passe enregistrés dans le navigateur et de remplacer ceux qui sont faibles ou réutilisés.

L’authentification à deux facteurs est à privilégier, notamment pour les comptes de messagerie, les gestionnaires de mots de passe, les comptes financiers, les profils de réseaux sociaux, les comptes de jeux et les interfaces d’administration. L’authentification par application ou par clé de sécurité matérielle offre une protection plus résistante que l’authentification par SMS.

Il convient de vérifier les règles de transfert du compte de messagerie, les adresses de récupération, les applications connectées, la liste des appareils de confiance et les sessions récentes. Même si un attaquant ne peut pas accéder directement au compte PKMN.NET, il peut tenter d’exploiter le compte de messagerie pour cibler les procédures de réinitialisation de mot de passe d’autres services.

Dans les tentatives d’hameçonnage, le nom de l’ancien service, le nom d’utilisateur, des informations sur le secteur ou la date d’inscription peuvent être utilisés. Saisissez vous-même l’adresse du site plutôt que de cliquer directement sur les liens reçus, n’ouvrez pas les pièces jointes sans vérification et méfiez-vous des messages qui vous poussent à agir dans l’urgence.

Le risque doit également être évalué pour les utilisateurs en entreprise. Si un salarié a utilisé son adresse e-mail professionnelle pour un compte d’apparence personnelle, le même mot de passe peut être essayé sur les systèmes de l’entreprise. Les analyses de sécurité fondées sur le domaine, l’authentification multifacteur et les contrôles permettant de détecter la réutilisation de mots de passe sont donc importants.

Pour les propriétaires de sites, la principale leçon concerne le stockage des mots de passe et la minimisation des données. Le stockage en clair ou les formats de hachage rapidement cassables affaiblissent directement la sécurité des utilisateurs. Les systèmes modernes doivent employer des méthodes de dérivation de mots de passe robustes, avec sel et volontairement lentes. Les anciens formats de hachage doivent être mis à jour progressivement lors de la connexion des utilisateurs.

Les sauvegardes, les environnements de test, les fichiers d’export, les anciens logiciels de forum, les interfaces d’administration et les droits inutiles doivent être régulièrement audités. De nombreuses fuites de données proviennent non pas de la partie visible de l’application principale, mais de systèmes auxiliaires oubliés ou de comptes dotés de droits étendus.

Dans les organisations dépourvues de plan de réponse aux incidents, la notification des utilisateurs, la réinitialisation des mots de passe, l’examen des journaux et la vérification des systèmes connectés prennent du retard. Les systèmes à surveiller, les enregistrements à conserver, les utilisateurs à informer et les sauvegardes à examiner doivent être définis à l’avance.

PKMN.NET étant toujours accessible, les utilisateurs qui se souviennent de leurs anciens comptes doivent y modifier directement leurs mots de passe et vérifier leurs profils. Le fait que le site soit actif rend une intervention rapide d’autant plus importante pour éviter les recoupements entre le mot de passe de l’ancien compte du forum et ceux utilisés sur d’autres services.

Dans les communautés de joueurs, les utilisateurs peuvent conserver le même pseudonyme dans les tournois, les forums, les groupes de messagerie et les profils sociaux. Le nom d’utilisateur, au même titre que l’adresse e-mail, doit donc être considéré comme une donnée personnelle pour les recherches et les recoupements.

Les comptes de forum peuvent contenir un historique de messages privés, des champs de signature, des liens de profil ou d’anciennes relations sociales. Cette fiche ne répertorie pas directement ces éléments comme une catégorie de données divulguées, mais vérifier les paramètres de votre ancien profil reste une bonne mesure de sécurité.

Les communautés de fans peuvent réunir des utilisateurs d’âges très variés. Ceux qui ont créé leurs anciens comptes pendant leur enfance peuvent aujourd’hui utiliser des services plus importants avec la même adresse e-mail ou le même nom d’utilisateur, ce qui accroît aussi les conséquences actuelles de cette ancienne fuite.

Le logo de PKMN.NET a été récupéré à partir de l’image officielle du site actif et stocké localement. L’image de la fiche est ainsi servie au sein du service, sans dépendre de la disponibilité d’une source externe, et le nom de domaine est conservé sans protocole.

Les types de données non vérifiés ont été délibérément exclus de cette fiche. Présenter clairement les champs étayés est plus utile pour la confiance des utilisateurs que d’allonger la liste des catégories de données. L’objectif des pages consacrées aux fuites de données n’est pas d’effrayer, mais d’expliquer clairement le périmètre exact et les mesures de sécurité applicables.

Cette page a été préparée pour fournir des informations claires et directement applicables, sous différentes appellations telles que « fuite de données de PKMN.NET », « fuite de données de pkmn.net », « fuite de mots de passe de PKMN.NET » et « données des utilisateurs de PKMN.NET ». Le texte explique les éléments vérifiés et les mesures de sécurité pratiques.

Lorsque vous consultez cette fiche, évaluez non seulement votre compte sur la plateforme concernée, mais aussi les autres comptes que vous avez créés avec la même adresse e-mail. Les comptes sur lesquels d’anciens mots de passe sont réutilisés constituent des cibles prioritaires pour les attaquants. Fermer les anciens comptes permet également de réduire le risque à long terme.

Pour limiter la réutilisation des mots de passe, les nouveaux mots de passe ne doivent pas contenir de noms de marques, d’années de naissance, de noms d’utilisateur, de noms d’équipes, de loisirs, de villes ou d’ajouts faciles à deviner. Ajouter un petit nombre ou un caractère spécial à la fin d’un mot de passe ne le rend pas sûr : les outils des attaquants testent rapidement ces modèles.

La liste de contrôle de la sécurité des comptes est claire : modifiez votre ancien mot de passe, mettez à jour tous les comptes qui utilisent le même mot de passe, activez la validation en deux étapes, vérifiez les informations de récupération de votre messagerie, fermez les sessions inconnues et accédez directement à l’adresse du site plutôt que par les liens de messages suspects.

Les équipes de sécurité doivent examiner cette fiche pour repérer les adresses e-mail correspondant aux domaines de leurs salariés. Les adresses e-mail professionnelles utilisées sur d’anciens comptes de forums, d’achats, de services financiers ou de communautés peuvent enrichir les listes de cibles des attaquants.

La minimisation des données est essentielle dans ce type d’incident. Il ne faut pas collecter de champs de profil inutiles; les comptes inactifs doivent être supprimés selon des politiques de conservation raisonnables; l’accès aux champs sensibles doit être restreint; et les opérations d’export de données doivent faire l’objet d’une surveillance renforcée.

Plutôt que de paniquer, les utilisateurs doivent remettre leurs comptes en ordre. Fermer les comptes anciens et oubliés, supprimer les inscriptions inutiles, mettre à jour les adresses de récupération et activer les notifications de connexion sur les comptes importants contribuent à une protection durable.

Le niveau de risque indiqué sur cette page a été fixé à « critique » en tenant compte du nombre de comptes touchés, du type de données de mots de passe, du potentiel des catégories de données pour la prise de contrôle de comptes et de la présence éventuelle d’identifiants réutilisables dans l’incident. Le niveau critique ne signifie pas qu’une utilisation malveillante est avérée, mais qu’une action rapide de l’utilisateur est nécessaire.

En résumé, cette fiche PKMN.NET décrit une seule fuite de données datant d’août 2019, qui a touché 52 497 comptes et contient les champs correspondant aux adresses e-mail, aux noms d’utilisateur et aux hachages de mots de passe. Il est conseillé aux utilisateurs d’employer des mots de passe uniques, d’activer l’authentification à deux facteurs, de vérifier les paramètres de sécurité de leur messagerie et de surveiller les alertes de connexion suspecte.

Le nombre de comptes, le titre et le domaine étant évalués ensemble pour la fiche PKMN.NET, les entrées ambiguës circulant sous le même nom n’ont pas été reprises sur cette page. La fiche présentée à l’utilisateur se limite au domaine et à la période de l’incident qui ont été vérifiés.

Il est particulièrement important de limiter les catégories de données présentées, car l’ajout de champs non étayés fausse l’évaluation du risque par l’utilisateur. Les affirmations portant sur d’autres données que les adresses e-mail, les noms d’utilisateur et les hachages de mots de passe ne sont donc pas présentées comme des champs vérifiés dans cette fiche.

Les anciennes inscriptions associées au domaine pkmn.net peuvent avoir été oubliées. S’il n’est pas possible de modifier le mot de passe de ces comptes oubliés, il est plus réaliste de rechercher en priorité les autres services sur lesquels le même mot de passe est utilisé et de les sécuriser.

Lorsqu’un nom d’utilisateur ou une adresse e-mail est recoupé avec d’autres fuites, les attaquants peuvent plus facilement déduire les centres d’intérêt, le pays, le secteur d’activité ou les habitudes d’inscription passées d’une personne. Même si une fuite isolée semble limitée, le risque cumulé est donc plus élevé.

Dans les organisations, l’utilisation par les salariés de leur adresse e-mail professionnelle pour des inscriptions personnelles doit être abordée lors des formations régulières de sensibilisation. Ces fiches constituent un signal d’alerte permettant de mesurer la réutilisation des mots de passe et la visibilité des identités professionnelles sur les plateformes personnelles.

Si vous retrouvez votre propre adresse e-mail dans cette fiche, commencez par vos comptes les plus importants : messagerie, compte bancaire ou d’investissement, gestionnaire de mots de passe, stockage dans le cloud, réseaux sociaux et comptes d’achats fréquemment utilisés.

Lorsque la fermeture est possible, supprimer les anciennes inscriptions inutiles est également une bonne mesure. Pour les comptes qui ne peuvent pas être fermés, il faut au minimum définir un mot de passe unique, réduire les informations du profil au strict nécessaire et activer les notifications de connexion.