Fuite de données de Taringa en 2017

Les champs confirmés sont les adresses e-mail, les noms d’utilisateur et les empreintes MD5 des mots de passe. Une adresse e-mail peut servir de point de contact et de moyen de récupération d’un compte, tandis qu’un nom d’utilisateur peut permettre de relier les activités d’une personne sur différentes communautés, différents jeux ou différents profils sociaux. Ces informations peuvent servir à préparer des messages d’apparence personnalisée concernant des annonces de la communauté, des restrictions de compte ou des réinitialisations de mot de passe.

MD5 est un ancien algorithme de hachage qui n’est pas considéré comme adapté au stockage actuel des mots de passe. La présence d’une empreinte ne signifie pas qu’un mot de passe était visible en clair, mais elle augmente sensiblement le risque lorsque les mots de passe sont courts, prévisibles ou réutilisés. Vérifiez non seulement votre mot de passe Taringa, mais aussi ceux des comptes de messagerie, d’achats, de jeux et de réseaux sociaux sur lesquels vous avez pu utiliser le même mot de passe.

Les catégories de données confirmées ne comprennent pas les dates de naissance, les numéros de téléphone, les adresses postales ni les informations de carte de paiement. Cette limite décrit le périmètre établi de cet incident; elle ne signifie pas qu’aucune autre information détenue par le service n’a été touchée. Il ne faut pas non plus supposer que chaque correspondance contient une adresse e-mail, un nom d’utilisateur et une empreinte de mot de passe sur la même ligne. Considérez une correspondance comme un signal de risque personnel et ne tenez pas pour avérée la présence de types de données non confirmés.

La date de référence sur cette page est le 1er août 2017, et le nombre de comptes distincts est de 27 971 100. Les totaux historiques de données brutes ont pu être rapportés avec des chiffres différents; la valeur utilisée ici correspond au périmètre confirmé des adresses e-mail distinctes. Il ne s’agit ni du nombre total de membres depuis la création du service, ni du nombre d’utilisateurs actifs, ni de l’ensemble des utilisateurs d’une communauté en ligne en Amérique latine.

Taringa est classé comme un service de communauté en ligne et de contenu social. L’incident est associé à ce service; les forums, réseaux sociaux ou sites portant un nom similaire, ou sur lesquels des personnes utilisaient le même pseudonyme, ne font pas partie du périmètre. La présence d’une adresse e-mail ou d’un nom d’utilisateur dans un autre incident ne modifie ni les catégories de données ni le nombre de comptes touchés par cet incident.

Les éléments confirmés ne permettent pas d’établir la méthode d’accès initial, la date à laquelle une base de données a été consultée ni les informations de profil que chaque personne avait communiquées. L’utilisation d’un sel pour le hachage des mots de passe n’est pas confirmée pour cette fiche. La date situe la période associée à l’incident; à elle seule, elle n’indique ni quand les données sont apparues pour la première fois en ligne, ni la dernière connexion d’une personne, ni l’état actuel d’un compte.

La priorité doit être donnée aux personnes ayant réutilisé leur mot de passe Taringa sur d’autres services. En raison de l’ancienne protection MD5, les mots de passe faibles ou réutilisés peuvent être testés sur d’autres sites. Toute personne ayant utilisé le même mot de passe pour un compte de messagerie, un réseau social ou un compte sur un site marchand non financier doit sécuriser ces comptes avec des mots de passe forts et différents.

Les personnes qui utilisent le même nom d’utilisateur dans plusieurs communautés peuvent également être plus faciles à cibler. Un attaquant peut relier un nom d’utilisateur à une adresse e-mail et se faire passer pour un administrateur de forum, ou imiter un avis de non-respect des règles de contenu, une alerte de message ou une demande de vérification de compte. Un message contenant un nom d’utilisateur réel ne prouve pas que son expéditeur représente le service.

Les anciens comptes qui ne sont plus utilisés restent importants. Même si une personne n’utilise plus Taringa depuis des années, l’adresse e-mail répertoriée peut toujours servir d’adresse de récupération pour un autre compte. Vérifiez régulièrement les sessions que vous ne reconnaissez pas, les règles de transfert, les options de récupération et les notifications inattendues de réinitialisation de mot de passe dans cette boîte mail.

Commencez par identifier les autres services sur lesquels vous avez pu utiliser un mot de passe employé sur Taringa. Si vous avez utilisé le même mot de passe, ou un mot de passe similaire, ailleurs, remplacez les mots de passe de ces comptes par des mots de passe longs et uniques. Comme un compte de messagerie sert de moyen de récupération pour de nombreux services, vérifiez en priorité son mot de passe et ses paramètres d’authentification multifacteur.

Méfiez-vous des e-mails et SMS inattendus qui se présentent comme provenant de Taringa ou d’un administrateur de communauté. Avant d’ouvrir un lien, examinez séparément le domaine de l’expéditeur, l’action demandée et l’adresse réelle de connexion. Pour confirmer une alerte suspecte, rendez-vous directement à l’adresse officielle connue du service plutôt que d’utiliser le lien fourni dans le message.

Révoquez les accès lorsque les paramètres du compte font apparaître un appareil, une session, une adresse e-mail de récupération ou une application connectée que vous ne reconnaissez pas. Maintenez les alertes de connexion et de changement de mot de passe activées sur vos comptes importants. Si vous constatez une activité suspecte, utilisez le canal d’assistance officiel du service concerné et ne communiquez jamais de mot de passe, de code à usage unique ni de pièce d’identité à un expéditeur qui vous contacte sans que vous l’ayez sollicité.

Utiliser un mot de passe long et différent pour chaque service est l’un des moyens les plus efficaces de limiter les conséquences d’anciennes expositions de mots de passe. Un gestionnaire de mots de passe peut générer des mots de passe forts et réduire leur réutilisation. Lorsque l’authentification multifacteur est disponible, privilégiez une application d’authentification ou une clé matérielle. Les codes envoyés par SMS renforcent la protection, mais n’empêchent pas complètement les prises de contact trompeuses.

La confidentialité des noms d’utilisateur fait également partie d’une protection durable. Choisir des pseudonymes différents pour les forums, les jeux et les réseaux sociaux, plutôt que d’utiliser le même nom partout, rend plus difficile le rapprochement entre les profils publics. Vérifiez les noms visibles, les biographies de profil et les coordonnées publiques de vos anciens comptes communautaires, et supprimez les informations inutiles lorsque c’est possible.

Maintenez vos informations de récupération de compte à jour. Les adresses e-mail secondaires, les numéros de téléphone, les appareils connectés et les sessions actives doivent être vérifiés périodiquement. Agissez rapidement si vous remarquez une connexion inconnue, une règle de transfert ou une modification des paramètres de sécurité. Ces habitudes protègent tous les comptes en ligne, pas seulement ceux des personnes dont l’adresse figure dans le périmètre de l’incident Taringa.

Utilisez la fonction de vérification de cette page pour savoir si votre adresse e-mail correspond à l’incident Taringa. Une correspondance indique que l’adresse figure dans le périmètre confirmé; elle ne prouve pas qu’un mot de passe est toujours valide, que tous les types de données figuraient sur votre ligne ou qu’un compte actuel a été compromis. Utilisez ce résultat comme un signal de risque personnel pour traiter en priorité la réutilisation des mots de passe et la sécurité des moyens de récupération de compte.

En l’absence de correspondance, il peut néanmoins être utile de vérifier vos anciennes adresses e-mail, les différentes façons d’écrire vos noms d’utilisateur et les comptes communautaires que vous n’utilisez plus. L’absence de correspondance ne garantit pas qu’aucune donnée personnelle ne se trouve ailleurs en ligne. Des mots de passe uniques, l’authentification multifacteur, une vérification régulière des comptes et la confirmation des messages suspects par un moyen indépendant restent la protection la plus fiable.