Fuite de données chez Sonicbids

Les types de données confirmés sont les adresses e-mail, les informations relatives aux noms, les noms d’utilisateur et les hachages de mots de passe. Une adresse e-mail permet aux attaquants de contacter directement l’utilisateur. Les informations relatives au nom et le nom d’utilisateur peuvent contribuer à donner une apparence personnalisée à de faux messages. Avec ces données, des messages portant sur des candidatures d’artistes, des propositions de concerts, des demandes de réservation, le partage de fichiers ou des alertes de sécurité des comptes peuvent paraître plus convaincants.

La présence d’informations sur les mots de passe sous forme de hachages PBKDF2 ne signifie pas que ces mots de passe sont stockés dans un format lisible. Il reste néanmoins possible de deviner des mots de passe anciens ou faibles et de les essayer sur d’autres comptes. En particulier, si un compte d’artiste ou de manager utilise le même mot de passe que des comptes de messagerie, de réseaux sociaux, de distribution musicale, de gestion des paiements ou d’événements, une seule fuite de données peut entraîner un risque d’accès à un ensemble plus large de comptes.

La date retenue pour la fuite est le 30 décembre 2019; sa confirmation et son ajout aux bases de données recensant les fuites sont enregistrés au 18 août 2020. Le nombre de comptes confirmé est de 751 700. Selon la déclaration de l’entreprise, l’accès non autorisé a été détecté à la suite d’un incident de confidentialité des données lié à des services d’hébergement cloud fournis par des tiers, et certaines informations relatives aux noms d’utilisateur et aux mots de passe sont devenues accessibles pendant une durée limitée. Ces éléments permettent de considérer que l’incident se limite aux identifiants de connexion des comptes utilisateurs.

La limite du périmètre est claire. Les champs confirmés sont l’adresse e-mail, les informations relatives au nom, le nom d’utilisateur et le hachage du mot de passe. Les numéros de téléphone, cartes de paiement, comptes bancaires, passeports, numéros de pièces d’identité officielles, adresses physiques, données de santé et contenus de messages privés ne font pas partie des catégories de données confirmées pour cet incident. Il ne faut pas non plus affirmer que le mot de passe de l’utilisateur a fuité en clair : la formulation exacte est que les informations sur le mot de passe étaient sous forme de hachage et que la réutilisation de mots de passe présente toujours un risque sérieux.

Les personnes les plus exposées au risque sont celles qui possèdent sur Sonicbids un compte d’artiste, de groupe, de manager, de candidature à des événements ou de réservation et qui utilisent le même mot de passe sur d’autres services. Les artistes indépendants et les petites équipes partagent souvent des comptes, peuvent utiliser la même boîte de réception ou laisser longtemps des accès ouverts à d’anciens membres de l’équipe. Ces habitudes facilitent la propagation des effets d’une seule fuite de mot de passe à plusieurs comptes.

Pour les agences, les managers et les équipes chargées des événements, le risque ne se limite pas aux comptes personnels. Les candidatures, les fichiers promotionnels, les liens vers les réseaux sociaux et les contacts de réservation des artistes représentés peuvent être exploités dans des messages ciblés. Si des comptes ont été créés sur d’autres plateformes musicales avec la même adresse e-mail, les attaquants peuvent tenter de recouper les noms d’utilisateur et les anciens mots de passe. Si le compte de messagerie est protégé par le même mot de passe, les procédures de réinitialisation des mots de passe peuvent également être compromises.

La première étape consiste à vérifier que l’ancien mot de passe utilisé pour le compte Sonicbids n’est plus actif sur aucun compte. Si le même mot de passe, ou un mot de passe similaire, est utilisé pour des comptes de messagerie, de réseaux sociaux, de distribution musicale, de billetterie, de paiement, de partage de fichiers ou pour des interfaces de gestion, il faut attribuer à chacun un mot de passe unique et robuste. Lors d’un changement de mot de passe, il ne suffit pas de reprendre l’ancien en le modifiant légèrement : il faut utiliser un mot de passe entièrement nouveau et long.

L’authentification à deux facteurs doit être activée sur tous les services qui la proposent. Le compte de messagerie associé à Sonicbids doit lui aussi être protégé, car les réinitialisations de mots de passe et les échanges liés aux réservations passent généralement par e-mail. Faites preuve de prudence face aux messages inattendus portant sur des candidatures d’artistes, des réservations de concerts, des pièces jointes, des demandes de paiement urgentes ou la vérification d’un compte. Au lieu de cliquer sur le lien, accédez directement au service concerné et consultez l’historique des sessions.

À long terme, chaque compte de service musical, d’événements, de réseau social et de messagerie doit disposer d’un mot de passe unique. Un gestionnaire de mots de passe facilite la création de mots de passe robustes et uniques sans semer la confusion au sein de l’équipe. Il convient de limiter les comptes partagés et de privilégier, lorsque cela est possible, les comptes individuels et les autorisations fondées sur les rôles. Les accès des anciens membres de l’équipe, des anciens managers ou des salariés qui n’occupent plus la fonction concernée doivent être régulièrement révoqués.

Les comptes d’artistes et de managers doivent faire l’objet de contrôles de sécurité réguliers. Les règles de transfert des e-mails, les comptes de réseaux sociaux associés, les notifications de paiement, les échanges liés aux réservations et les autorisations de partage de fichiers doivent être examinés à intervalles réguliers. Il faut agir rapidement si vous repérez un appareil inconnu, un message inattendu de réinitialisation du mot de passe ou une modification suspecte du profil. Cette habitude ne réduit pas seulement le risque lié à l’incident Sonicbids : elle limite aussi les conséquences de fuites similaires à l’avenir.

Si un résultat indique une correspondance, votre adresse e-mail pourrait avoir figuré parmi les 751 700 comptes associés à la fuite de données de Sonicbids. Ce résultat ne signifie pas que vos informations de paiement, votre adresse physique ou vos messages privés ont fuité. Les champs confirmés sont l’adresse e-mail, les informations relatives au nom, le nom d’utilisateur et le hachage du mot de passe. La première vérification consiste à déterminer si le mot de passe utilisé à l’époque pour Sonicbids est toujours utilisé sur d’autres comptes.

Si votre ancien mot de passe Sonicbids a été utilisé sur d’autres services, changez le mot de passe de ces comptes. Vérifiez également votre compte de messagerie, vos profils d’artiste, vos comptes de réseaux sociaux, vos espaces de partage de fichiers et vos contacts de réservation. Si vous constatez sur le compte des modifications de profil, des activités de candidature ou des changements de coordonnées que vous ne reconnaissez pas, contactez le service d’assistance concerné. La bonne démarche n’est pas d’étendre la liste des champs de données concernés sans confirmation, mais de réduire les risques à long terme pour la sécurité des comptes qui résultent de la combinaison de l’adresse e-mail, du nom, du nom d’utilisateur et du mot de passe.