Fuite de données chez Stripchat

Les champs de données vérifiés sont les adresses e-mail, les adresses IP et les noms d’utilisateur. Une adresse e-mail peut aider à relier une personne à ses comptes sur différents services. Si le nom d’utilisateur est repris à l’identique ou sous une forme similaire sur les réseaux sociaux, les forums, les jeux, les plateformes professionnelles ou d’autres profils communautaires, le risque de rapprochement entre les profils augmente. Une adresse IP ne permet pas nécessairement de déterminer une adresse de domicile précise; elle peut toutefois fournir des indices sur la région approximative, le fournisseur d’accès à Internet ou la connexion utilisée lors d’une session. Le croisement de ces trois champs augmente les risques de recherche ciblée de l’identité d’une personne, de faux messages d’assistance, de harcèlement, de tentatives d’humiliation et de découverte de comptes.

Une limite importante de cet ensemble vérifié de données de comptes est qu’il ne contient pas de mots de passe. Les utilisateurs doivent néanmoins se méfier des fausses notifications reçues à la même adresse e-mail. Un attaquant peut préparer des messages d’apparence crédible en utilisant le nom du service sensible et l’adresse e-mail, sans avoir besoin de connaître le mot de passe. L’évaluation du risque ne doit donc pas se limiter à la prise de contrôle du compte : elle doit aussi tenir compte de la divulgation du lien entre la personne et ce service, ainsi que des pressions sociales qui peuvent en découler.

Pour l’incident Stripchat, la recherche de comptes porte sur un ensemble vérifié de 10 001 355 enregistrements. La date de l’incident doit être consignée comme étant le 5 novembre 2021, et la date d’ajout à la liste vérifiée comme étant le 31 août 2022. Bien que les avis techniques évoquent une exposition plus large de la base de données, comprenant le contexte de traitement et des messages ainsi que des enregistrements d’utilisateurs et de modèles, cette fiche sur LeakData se limite aux champs vérifiés présentés à l’utilisateur pour établir une correspondance : adresse e-mail, adresse IP et nom d’utilisateur. Cette distinction est nécessaire à la fois pour permettre à l’utilisateur de comprendre son risque réel et pour éviter l’ajout de champs non vérifiés à la fiche.

Pour cet événement, les mots de passe, les empreintes de mots de passe, les cartes de paiement, les comptes bancaires, les numéros de pièces d’identité officielles, les adresses postales, les numéros de téléphone et les images de documents ne doivent pas être inclus dans les données vérifiées servant à la recherche de comptes. Il ne faut pas non plus supposer que chaque enregistrement correspond à une personne réelle distincte : une même personne peut avoir plusieurs comptes, d’anciennes adresses e-mail ou des noms d’utilisateur récurrents. En limitant le périmètre aux identifiants de comptes liés à une plateforme de contenus pour adultes, la fiche reste à la fois exacte et compréhensible pour l’utilisateur.

Les personnes les plus exposées sont celles qui associent l’adresse e-mail utilisée pour leur compte Stripchat à leur vrai nom, à leur activité professionnelle, à leurs réseaux sociaux ou à d’autres comptes sensibles. Les personnes qui utilisent le même nom d’utilisateur sur plusieurs plateformes sont également plus faciles à identifier. L’association de l’adresse e-mail et du nom d’utilisateur permet plus facilement à un attaquant de retrouver la personne sur d’autres profils et de préparer des messages personnalisés à son intention. Comme une adresse IP peut aussi donner une indication sur la région ou le fournisseur d’accès, elle peut rendre les messages d’ingénierie sociale plus convaincants.

Pour les personnes inscrites avec une adresse e-mail professionnelle, le risque peut également s’étendre à l’environnement de travail. Des scénarios exploitant le caractère sensible du service pour mettre une personne dans l’embarras, la faire chanter, lui adresser de fausses demandes de paiement, de fausses notifications de renouvellement d’abonnement ou de fausses offres de suppression de compte deviennent plus probables. Même un ancien abonnement peut présenter un risque actuel : les adresses e-mail étant utilisées longtemps, les attaquants peuvent exploiter d’anciens liens avec des services pour accéder à des comptes actuels ou faire pression sur la personne.

Si vous obtenez une correspondance positive, vérifiez d’abord votre compte de messagerie, vos adresses de récupération et vos sessions actives. Supprimez immédiatement tout message inattendu de réinitialisation de mot de passe, toute session provenant de l’étranger, tout filtre suspect ou toute règle de transfert inconnue dans votre compte de messagerie. Ne répondez pas aux messages qui utilisent le nom Stripchat, demandent un paiement, annoncent la suppression de votre compte ou vous envoient un lien sous prétexte de vérifier votre identité. En raison du caractère sensible du service, les messages reçus peuvent sembler légitimes; il est plus sûr de les vérifier en vous rendant vous-même sur le canal officiel.

Même si les mots de passe ne font pas partie de ces champs de données vérifiés, privilégiez des mots de passe longs et uniques pour les comptes importants utilisant la même adresse e-mail. Activez l’authentification multifacteur pour vos comptes de messagerie, de réseaux sociaux, de services financiers, de services cloud et vos comptes professionnels. Si le même nom d’utilisateur apparaît sur d’autres profils, revoyez leurs paramètres de confidentialité, réduisez les liens de profil accessibles au public et fermez les comptes inutiles. Si vous recevez un message d’extorsion ou de harcèlement, conservez les preuves et envisagez un signalement auprès de la plateforme concernée et des autorités locales.

À long terme, utiliser une adresse e-mail distincte pour les services liés à des activités sensibles, éviter de réutiliser le même nom d’utilisateur sur différentes plateformes et réduire les informations de profil superflues font partie des protections les plus efficaces. Utilisés ensemble, le masquage des adresses e-mail, les gestionnaires de mots de passe et l’authentification multifacteur réduisent le risque d’hameçonnage visant à obtenir des informations d’identité et de découverte de comptes. Les utilisateurs devraient régulièrement passer en revue leurs anciens abonnements, fermer les comptes qu’ils n’utilisent plus et vérifier que leurs informations de récupération de compte sont à jour.

Du point de vue des fournisseurs de services, cet incident montre qu’un accès non protégé à une base de données n’est pas une simple erreur technique. Les services de contenus pour adultes et les autres services sensibles devraient limiter les données collectées, surveiller en permanence les contrôles d’accès et ne pas conserver les journaux et les données de comptes plus longtemps que nécessaire. Lors de la présentation de l’incident à l’utilisateur, il faut indiquer clairement quels champs ont été vérifiés, lesquels ne l’ont pas été et quelles dates correspondent respectivement à l’incident et à l’ajout à la liste. Cette clarté réduit la panique inutile et aide à prendre les mesures appropriées.

Un résultat positif signifie que l’adresse e-mail saisie figure dans l’ensemble vérifié de données de comptes associé à Stripchat. Dans ce cas, l’adresse e-mail, l’adresse IP et le nom d’utilisateur doivent être considérés comme des éléments présentant un risque. Un résultat négatif indique qu’aucune correspondance n’a été trouvée dans cet ensemble de données précis; il ne prouve pas que la personne n’apparaît dans aucune autre fuite de données. Compte tenu du caractère sensible du service, le résultat doit être évalué non seulement sous l’angle de la sécurité technique, mais aussi sous celui de la vie privée et des risques sociaux.

Les mesures appropriées consistent à sécuriser votre compte de messagerie, à activer l’authentification multifacteur, à examiner les profils publics utilisant le même nom d’utilisateur, à rester vigilant face aux faux messages d’assistance ou de paiement et à fermer les anciens comptes inutiles. Même si le mot de passe n’est pas un champ vérifié dans cet ensemble de données, vous devez continuer à utiliser des mots de passe uniques pour vos comptes importants. L’incident Stripchat a montré que les traces permettant d’identifier une personne sur des services de contenus pour adultes peuvent présenter des risques à long terme. Les mesures prises doivent donc porter à la fois sur la sécurité et sur la vie privée.