Taobao Exposition présumée de données

Les deux catégories de données dont la présence a été confirmée sont les adresses e-mail et les mots de passe. Les mots de passe stockés en clair présentent un risque élevé, car ils peuvent être essayés directement, sans étape de cassage de hachage. Si le même mot de passe a été réutilisé pour une messagerie, un site marchand, un réseau social ou un autre service, un attaquant peut tenter une attaque par bourrage d’identifiants contre ces comptes. Un couple adresse e-mail/mot de passe peut aussi rendre plus convaincants de faux messages concernant une commande, un paiement, une vérification de compte ou une réinitialisation de mot de passe. L’attribution à Taobao étant incertaine, l’évaluation des risques doit tenir compte à la fois de l’authenticité apparente d’une partie des données et de l’incertitude entourant leur origine.

La date enregistrée du 1er janvier 2012 n’est pas la date exacte d’une attaque; il s’agit d’un repère à l’échelle de l’année, qui situe approximativement l’événement en 2012. Le jeu de données était associé à 21 149 008 enregistrements de comptes, et des indices d’authenticité des informations utilisateur ont été observés dans les couples adresse e-mail/mot de passe. L’attribution n’a pas pu être établie de manière concluante en raison du contexte linguistique, des noms de domaine et des services locaux, ainsi que de la difficulté à obtenir des confirmations concordantes auprès des personnes concernées. La fiche est donc publiée avec le statut « non vérifié » : le jeu de données ne peut pas être simplement écarté comme étant fabriqué, mais il n’a pas été prouvé qu’il provient des systèmes de Taobao. Le chiffre de 21 149 008 correspond au nombre de comptes dans le jeu de données; l’origine et les méthodes de déduplication n’étant pas entièrement connues, il ne doit pas être considéré comme un décompte exact de personnes distinctes. Il ne s’agit pas de l’incident de scraping de 2020.

Les personnes qui utilisaient Taobao autour de 2012 et qui ont réutilisé le même mot de passe sur un autre service sont les plus clairement exposées à un risque concret. Même si un ancien compte a été fermé ou oublié, son mot de passe en clair a pu être réutilisé par la suite pour une messagerie, un site marchand ou un réseau social. Les personnes qui ont conservé le même mot de passe de base en n’y apportant que de petites modifications doivent également rester prudentes, car les anciens schémas de construction peuvent aider un attaquant à deviner des identifiants plus récents. L’attribution n’est pas vérifiée : la présence d’une adresse dans les données ne prouve donc pas que la personne possédait effectivement un compte Taobao. L’adresse peut provenir d’un autre service, d’un regroupement de jeux de données ou d’une source mal étiquetée. Cette incertitude ne dispense pas de prendre des mesures de sécurité; elle empêche seulement d’affirmer avec certitude quelle entreprise est à l’origine des données. Les personnes qui ne se souviennent pas d’avoir utilisé Taobao doivent déterminer si le mot de passe répertorié était le leur et sur quels services elles l’utilisaient à l’époque.

Si vous avez réutilisé l’ancien mot de passe ailleurs, changez immédiatement les mots de passe de tous les comptes concernés. Sécurisez d’abord votre messagerie, car l’accès à celle-ci peut permettre de réinitialiser les mots de passe de nombreux autres services. Générez un mot de passe long et unique pour chaque compte, conservez-le dans un gestionnaire de mots de passe réputé et activez l’authentification à plusieurs facteurs partout où elle est proposée. Si vous utilisez encore votre compte Taobao, saisissez vous-même l’adresse officielle pour changer son mot de passe, puis vérifiez les sessions actives et les informations de récupération. Ne suivez pas les liens contenus dans des messages inattendus concernant une commande, un remboursement, une livraison, un paiement ou une vérification de compte; vérifiez la transaction dans l’application officielle ou sur le domaine officiel. Si une légère variante de l’ancien mot de passe est encore utilisée, remplacez tous les mots de passe construits selon le même schéma, plutôt que de modifier uniquement celui qui correspond exactement. L’incertitude sur l’attribution ne réduit pas la nécessité d’agir lorsque l’exposition d’un mot de passe en clair est confirmée.

Un gestionnaire de mots de passe facilite l’attribution d’un mot de passe aléatoire différent à chaque service, afin qu’un mot de passe en clair présent dans un jeu de données ne devienne pas une clé d’accès à d’autres comptes. Pour votre messagerie, maintenez l’authentification à plusieurs facteurs et les alertes de nouvelle session activées, et gardez vos options de récupération à jour. Passez régulièrement en revue vos anciens comptes, fermez les profils de sites marchands et de forums que vous n’utilisez plus, et supprimez les moyens de paiement enregistrés qui ne sont plus nécessaires. Construire des mots de passe à partir d’un même mot de base auquel vous ajoutez un nom de site ou une année n’est pas sûr, car les attaquants peuvent en déduire le schéma. Face à un message d’hameçonnage, examinez le domaine réel, la destination du lien et le caractère habituel ou non de la demande, plutôt que de vous fier au nom d’expéditeur affiché. Vos vérifications régulières doivent inclure les profils inactifs de sites marchands et les adresses de récupération qui n’ont pas été mises à jour depuis des années. Même lorsque la source d’un jeu de données reste incertaine, il est plus utile de se concentrer sur l’exposition confirmée des mots de passe que de présenter comme un fait une attribution spéculative à une entreprise.

Vérifiez votre adresse e-mail avec LeakData pour savoir si elle figure dans le jeu de données Taobao de 2012 ou dans les données d’une autre fuite connue. Une correspondance ne signifie pas que Taobao a confirmé publiquement l’incident ni que l’adresse provient avec certitude de ce service; elle signifie que l’adresse apparaît dans un jeu de données attribué à Taobao avec le statut « non vérifié ». Pour décider des mesures à prendre, tenez compte à la fois de l’incertitude sur l’attribution et de la présence constatée de mots de passe en clair. En cas de correspondance, identifiez tous les comptes sur lesquels l’ancien mot de passe a été utilisé et sécurisez en priorité votre messagerie, vos services financiers et vos comptes de sites marchands. Si vous ne pensez pas avoir eu de compte Taobao, déterminez si le mot de passe était le vôtre et s’il a été utilisé sur un autre service, sans spéculer sur la source. Utilisez durablement des mots de passe uniques, un gestionnaire de mots de passe et l’authentification à plusieurs facteurs pour vous protéger.