Exposition présumée de données chez TodoTorrents

Les principales catégories de données concernées par cet incident sont les adresses e-mail et les mots de passe en clair. Lorsque ces deux éléments sont réunis, ils présentent un risque direct de prise de contrôle des comptes. Si une personne a réutilisé son mot de passe TodoTorrents sur d’autres plateformes, des attaquants peuvent essayer la même combinaison d’adresse e-mail et de mot de passe sur ses comptes de messagerie, de réseaux sociaux, de jeux, de forums, d’achats et de paiement. La gravité de l’incident a donc été évaluée comme élevée dans cette fiche.

Les principaux types de données vérifiables sont les adresses e-mail et les mots de passe. Les enregistrements indiquant la présence de mots de passe en clair sont particulièrement préoccupants. Un mot de passe en clair peut être lu directement par un attaquant, sans aucune opération de cassage, puis essayé sur d’autres services. L’adresse e-mail constitue également un identifiant suffisant pour identifier l’utilisateur et cibler les tentatives de connexion avec un mot de passe.

Les nombres de personnes concernées, les champs de données et les affirmations des acteurs malveillants qui n’ont pas été vérifiés ne sont pas retenus dans le périmètre public de l’incident. Cette approche évite de présenter aux utilisateurs un degré de certitude excessif. Toutefois, la seule combinaison d’une adresse e-mail et d’un mot de passe en clair présente déjà un risque élevé. Les utilisateurs de torrents et de forums pouvant employer le même pseudonyme, la même adresse e-mail ou des mots de passe construits sur le même modèle sur plusieurs plateformes, les conséquences de l’incident peuvent dépasser le seul compte TodoTorrents.

Dans les sources, le nom TodoTorrents apparaît avec les deux variantes todotorrents.org et todotorrents.com. La datation de l’incident repose sur la première activité technique vérifiable à partir de sources publiques. Dans cette description, cette période est désignée comme le milieu de l’année 2023.

Cette approche vise à rendre compte de l’incertitude de manière encadrée, plutôt qu’à la masquer. Pour les utilisateurs, le risque concret dépend davantage de la nature des données exposées que de la date exacte. Lorsque des adresses e-mail et des mots de passe en clair sont réunis, que l’incident soit daté de juin ou de juillet 2023 ne change pas les recommandations de sécurité. Changer les mots de passe, mettre fin à leur réutilisation et activer l’authentification à deux facteurs restent des mesures essentielles.

Avant l’ajout de cette fiche, une recherche de doublons a été effectuée parmi les fiches existantes à l’aide des variantes TodoTorrents, Todo Torrents, todotorrents.org et todotorrents.com. Aucune fiche de fuite existante ne portant le même titre, la même clé d’enregistrement ou le même nom de domaine, cette fiche a été retenue comme distincte. Les fiches existantes relatives à des plateformes de torrents concernent d’autres services et d’autres incidents; TodoTorrents n’a donc pas été regroupé avec elles.

Les fiches issues de sources ouvertes concordent sur le nom, le nom de domaine, le nombre approximatif d’enregistrements, la datation au milieu de l’année 2023 et la présence de mots de passe en clair associés aux adresses e-mail. Toutefois, aucune déclaration officielle complète de l’exploitant de la plateforme n’a été trouvée qui confirme l’ensemble des détails techniques et le nombre d’utilisateurs concernés. Le niveau de vérification reste donc limité. La fiche a été ajoutée avec prudence et se limite aux champs vérifiables.

Si le mot de passe du compte TodoTorrents est réutilisé ailleurs, le principal risque pour l’utilisateur est une attaque par réutilisation d’identifiants, dite « credential stuffing ». Les attaquants essaient la combinaison d’adresse e-mail et de mot de passe sur de nombreux services à l’aide d’outils automatisés. Une tentative de connexion réussie, notamment à un compte de messagerie, peut entraîner des compromissions plus étendues par l’intermédiaire des procédures de réinitialisation des mots de passe d’autres comptes.

Le contexte d’une plateforme de torrents peut également présenter un risque pour la vie privée. L’utilisateur peut ne pas souhaiter que son lien avec cette plateforme soit connu. Des attaquants peuvent envoyer des messages ciblés en utilisant son adresse e-mail, son ancien mot de passe ou le nom de la plateforme. Ces messages peuvent porter sur les droits d’auteur, la fermeture du compte, un paiement, une vérification ou chercher à embarrasser la personne. Le fait de connaître l’ancien mot de passe ne signifie pas que l’attaquant a accès aux appareils actuellement utilisés ou au compte de messagerie; en revanche, si ce mot de passe est réutilisé, le risque est réel.

• Changer le mot de passe utilisé sur TodoTorrents sur tous les services où il est employé.
• Donner la priorité aux comptes principaux, notamment ceux qui servent à la messagerie et à la réinitialisation des mots de passe.
• Abandonner les mots de passe identiques ou construits sur des modèles similaires.
• Utiliser un mot de passe unique pour chaque compte, à l’aide d’un gestionnaire de mots de passe.
• Activer l’authentification à deux facteurs sur les services qui la proposent.
• Ne pas payer en réponse à des menaces ou à des messages relatifs aux droits d’auteur contenant l’ancien mot de passe.
• Accéder aux pages de connexion en saisissant le nom de domaine dans la barre d’adresse, plutôt qu’en suivant un lien dans un e-mail.

L’affirmation selon laquelle les mots de passe sont en clair rend cette fiche plus préoccupante qu’une simple fuite de liste d’adresses e-mail. Même un mot de passe haché peut être cassé s’il est protégé par un algorithme faible; avec un mot de passe en clair, l’attaquant n’a toutefois pas besoin d’attendre. La personne qui détient les données peut immédiatement lire le mot de passe et l’essayer sur d’autres systèmes. Les utilisateurs ne devraient donc pas tarder à changer leurs mots de passe.

Apporter de petites modifications à l’ancien mot de passe pour le remplacer n’est pas sûr. Les attaquants essaient automatiquement des variantes de l’ancien mot de passe auxquelles une année, un signe de ponctuation ou le nom d’une plateforme a été ajouté à la fin. Un mot de passe sûr est long, aléatoire et ne dérive pas du précédent. L’utilisation d’un gestionnaire de mots de passe est donc la solution la plus pratique.

Les plateformes de torrents peuvent être associées aux habitudes d’accès aux contenus et aux préférences en ligne des utilisateurs. Ces éléments n’ont pas été inclus dans la description, car aucun historique de contenus ni aucun relevé de téléchargements n’a été vérifié. Toutefois, la seule combinaison du nom de la plateforme, de l’adresse e-mail et du mot de passe peut indiquer qu’un utilisateur est lié à une communauté particulière. Cette information peut être utilisée dans des messages ciblés de chantage ou d’hameçonnage.

Les utilisateurs peuvent recevoir des messages évoquant des menaces de poursuites judiciaires, des revendications liées aux droits d’auteur, la résiliation d’une adhésion ou la vérification d’un compte. Même si le message paraît authentique, il ne faut ni cliquer sur les liens, ni ouvrir les pièces jointes, ni effectuer de paiement. La présence d’un ancien mot de passe dans le message peut provoquer la panique; il s’agit pourtant généralement d’une simple copie de données provenant d’une ancienne fuite. Les utilisateurs devraient appliquer les mesures de sécurité et conserver le message de menace comme preuve.

L’incident TodoTorrents montre que même les petites plateformes ou les plateformes de niche doivent appliquer les règles de sécurité fondamentales pour le stockage des mots de passe. Les mots de passe ne doivent pas être stockés en clair et doivent être protégés par des algorithmes de hachage robustes et à jour. Les interfaces d’administration, les sauvegardes de bases de données et les outils d’exportation des utilisateurs ne devraient être accessibles qu’avec des comptes autorisés et vérifiés.

En cas de suspicion de fuite, la réinitialisation des mots de passe des utilisateurs doit être imposée, les sessions actives devraient être fermées et les utilisateurs doivent être clairement informés des catégories de données susceptibles d’avoir été touchées. Un simple message général sur la sécurité ne suffit pas. Les risques liés à la réutilisation des mots de passe, la nécessité de protéger en priorité les comptes de messagerie, les faux messages concernant les droits d’auteur et l’hameçonnage doivent être explicitement expliqués.

Cette fiche concerne une fuite de données associée à la plateforme espagnole de torrents TodoTorrents, qui aurait touché environ 519 527 comptes utilisateurs au milieu de l’année 2023. Les principaux types de données signalés comme exposés sont les adresses e-mail et les mots de passe en clair. Cette combinaison présente un risque de prise de contrôle des comptes et d’accès non autorisé à d’autres services pour les utilisateurs qui réutilisent leurs mots de passe.

La fiche n’a pas été marquée comme vérifiée, faute de confirmation officielle provenant d’une source primaire. Le nom de domaine, la date, le nombre d’enregistrements et les catégories de données ont néanmoins été ajoutés pour informer les utilisateurs, car ces éléments apparaissent de manière concordante dans les registres publics de fuites. Les utilisateurs de TodoTorrents devraient changer leurs anciens mots de passe sur tous les services, protéger tout particulièrement leurs comptes de messagerie, activer l’authentification à deux facteurs et se méfier des messages de menace utilisant le nom de la plateforme.

Les anciens comptes sur les plateformes de torrents sont souvent oubliés; les attaquants, eux, ne les oublient pas. Les combinaisons d’adresses e-mail et de mots de passe peuvent revenir en circulation pendant des années. Même si l’utilisateur pense ne plus utiliser le même mot de passe, le risque persiste s’il emploie des variantes similaires. De plus, l’ancienne adresse e-mail peut toujours être configurée comme adresse de récupération sur des comptes actuels.

Pour se protéger à long terme, les utilisateurs devraient dresser l’inventaire de leurs comptes, abandonner complètement leurs anciens mots de passe, renforcer la protection de leur compte de messagerie principal et, si possible, utiliser une adresse e-mail distincte pour leurs comptes de torrents ou de forums. Les comptes inutilisés devraient être fermés. Si leur fermeture est impossible, il convient de leur attribuer un mot de passe aléatoire et unique, puis de fermer leurs sessions. Ainsi, un ancien jeu de données devient inutilisable lors de futures attaques.

La présence de deux nombres d’enregistrements proches, autour de 519 mille et de 522 mille pour TodoTorrents, ne signifie pas que l’incident a été inventé. Plusieurs méthodes de comptage peuvent être utilisées pour ces données : nombre total de lignes, nombre d’adresses e-mail uniques, nombre d’utilisateurs après nettoyage ou suppression des lignes corrompues.

Pour les utilisateurs, le point essentiel n’est pas l’écart de quelques milliers entre les chiffres, mais la présence d’adresses e-mail et de mots de passe en clair parmi les données. Cette combinaison est directement exploitable par un attaquant. Par conséquent, même si le compte TodoTorrents n’est plus utilisé, la sécurité de tous les comptes sur lesquels le même mot de passe a pu être employé devrait être vérifiée.

Oui. Le fait qu’un compte ne soit plus actif n’empêche pas d’essayer ailleurs l’adresse e-mail et le mot de passe divulgués. Si l’utilisateur continue d’utiliser l’ancien mot de passe sur une autre plateforme, le risque persiste. De plus, d’anciennes adresses e-mail peuvent rester configurées comme adresses de récupération sur des comptes actuels. Ainsi, même si l’ancien compte de torrents est fermé, il convient de passer en revue l’historique des mots de passe et les paramètres de récupération.