Exposition présumée de données chez Read Novel

Les champs dont la présence est confirmée dans le jeu de données sont les adresses e-mail, les noms d’utilisateur, les numéros de téléphone, le genre et les mots de passe stockés sous forme d’empreintes MD5 salées. Le salage rend moins probable la production d’empreintes identiques à partir de mots de passe identiques, mais MD5 est rapide et peu sûr au regard des normes actuelles de stockage des mots de passe. Les mots de passe courts, courants ou réutilisés peuvent donc être retrouvés par des essais hors ligne. L’association d’une adresse e-mail, d’un nom d’utilisateur et d’un numéro de téléphone facilite le rapprochement de comptes, l’envoi de SMS ciblés, l’hameçonnage et le détournement des procédures de réinitialisation des mots de passe. Le genre ne permet pas, à lui seul, d’accéder à un compte, mais peut fournir des éléments de contexte pour personnaliser une fraude. L’origine du jeu de données complet n’ayant pas été vérifiée de manière concluante, cette fiche ne doit pas être présentée comme celle d’une fuite confirmée au sein de Read Novel. Les éléments attestant la présence de véritables données de compte justifient néanmoins, par précaution, de cesser de réutiliser les mêmes mots de passe.

Le jeu de données a été associé à un incident présumé survenu en mai 2019. La date du 1er mai indiquée dans cette fiche est une date normalisée dont la précision se limite au mois; elle ne doit pas être interprétée comme le jour confirmé d’une intrusion, d’un accès initial ou d’une extraction de données. La fiche a ensuite été ajoutée à un catalogue public de fuites de données en 2022. L’examen a révélé une cohérence suffisante des champs et du nombre de comptes pour considérer que ces données présentent un risque de sécurité, mais aucune communication fiable sur l’incident émanant de Read Novel ou de son propriétaire, Yuewen Group, n’a été trouvée. L’auteur, la méthode d’accès, les systèmes concernés et la date de découverte n’ont pas pu être vérifiés et ne sont donc pas présentés comme établis. Le détail technique fiable est la présence d’empreintes MD5 salées dans le champ des mots de passe. Cette fiche rend visibles les éléments attestant un risque réel lié aux identifiants, tout en préservant l’incertitude quant à l’attribution à l’entreprise et en conservant son statut non vérifié.

Les personnes qui utilisaient des comptes sur readnovel.com ou sur les services de littérature en ligne associés à Read Novel en 2019 ou auparavant constituent le groupe le plus concerné. Même lorsqu’une ancienne adresse e-mail ou un ancien numéro de téléphone n’est plus actif, la réutilisation d’un mot de passe sur un service actuel peut faire perdurer le risque. L’association d’un nom d’utilisateur et d’une adresse e-mail peut aider à retrouver des comptes sur d’autres forums, applications de lecture ou plateformes sociales. Un numéro de téléphone peut, quant à lui, servir à envoyer de fausses demandes de renouvellement d’adhésion, des demandes de codes de vérification, des offres de contenus premium ou des alertes de paiement. Les mots de passe faibles sont particulièrement exposés, car les empreintes MD5 peuvent être testées rapidement. Si vous ne vous souvenez pas d’avoir créé un compte Read Novel, une correspondance ne prouve pas l’attribution des données à ce service : une inscription oubliée, la réutilisation du même nom d’utilisateur ailleurs ou un étiquetage erroné du jeu de données restent possibles. L’incertitude ne dispense pas de prendre des précautions, mais elle empêche de présenter un récit définitif de l’incident.

Si vous vous souvenez du mot de passe utilisé vers 2019 avec l’adresse e-mail ou le nom d’utilisateur pour lequel une correspondance a été trouvée, remplacez tout mot de passe identique ou similaire sur chacun de vos comptes actuels. Ne saisissez pas l’ancien mot de passe dans un formulaire de vérification de fuites de données ni sur un site inconnu; utilisez la page officielle de réinitialisation du mot de passe de chaque service. Créez un mot de passe long et unique pour chaque compte et activez l’authentification multifacteur, en commençant par votre compte de messagerie. Examinez les sessions actives de votre messagerie, les adresses de récupération et les appareils de confiance, puis mettez fin aux accès que vous ne reconnaissez pas. Si le numéro de téléphone est toujours actif, envisagez un code PIN supplémentaire auprès de votre opérateur ainsi que des alertes en cas de changement non autorisé de carte SIM. Ne suivez pas les liens reçus qui semblent proposer des contenus premium Read Novel, un renouvellement d’abonnement ou une vérification de compte; ouvrez directement le site ou l’application que vous connaissez. L’exposition d’un numéro de téléphone ne démontre pas que l’appareil a été compromis et ne doit donc pas être considérée comme une preuve de la présence d’un logiciel malveillant en l’absence d’autres indices.

Un gestionnaire de mots de passe, des identifiants générés aléatoirement pour chaque service et un second facteur d’authentification robuste sur votre compte de messagerie principal réduisent le risque durable lié aux anciens identifiants. Fermez régulièrement les comptes de lecture, de forums et de communautés que vous n’utilisez plus, et vérifiez si vos profils conservent inutilement un numéro de téléphone ou des informations démographiques. Réutiliser le même nom d’utilisateur sur de nombreux services facilite le rapprochement des comptes; il peut donc être judicieux d’utiliser des identifiants distincts pour vos comptes sensibles et vos comptes publics. Les fournisseurs de services devraient éviter les fonctions de hachage rapides telles que MD5, utiliser des fonctions modernes et lentes de dérivation des mots de passe avec des sels uniques, protéger les sessions et limiter la fréquence des tentatives de connexion inhabituelles. Pour les jeux de données d’origine incertaine, le nombre de comptes, les champs exposés, le format des mots de passe, l’attribution à une entreprise et le niveau de vérification doivent rester des caractéristiques distinctes. Si l’entreprise publie des informations sur l’incident ou si des preuves techniques plus solides apparaissent, la fiche doit être réévaluée plutôt que d’être tacitement considérée comme vérifiée.

Une correspondance peut indiquer qu’une adresse e-mail figure dans le jeu de données de 22 424 472 comptes attribué à Read Novel; elle ne prouve ni que la personne a créé un compte readnovel.com, ni que les données proviennent directement de ces systèmes. Examinez la manière dont l’adresse e-mail, le nom d’utilisateur et le numéro de téléphone correspondants étaient utilisés avant 2019, puis déterminez si le mot de passe de cette période a été réutilisé ailleurs. Ne saisissez jamais le mot de passe lui-même dans un formulaire de vérification; procédez uniquement à des changements de mot de passe sécurisés. Même si l’ancien mot de passe n’est plus actif, examinez l’historique des sessions et les options de récupération de votre compte de messagerie. Le chiffre de 22 424 472 correspond au nombre de comptes indiqué dans le catalogue; il ne faut pas supposer que chaque compte contient les cinq champs. L’attribution restant non vérifiée, aucun jour d’intrusion, aucune méthode ni aucun auteur ne doit être présenté aux utilisateurs comme établi. Gérez le risque en tenant compte du champ des mots de passe contenant des empreintes MD5 salées et de l’utilisation abusive possible des coordonnées.