VK Fuite de données

Les types de données dont la présence est vérifiée dans le jeu de données VK sont les adresses e-mail, les noms, les mots de passe et les numéros de téléphone. Les adresses e-mail peuvent servir à des tentatives d’hameçonnage ciblé, à des escroqueries à la réinitialisation de mot de passe et au rapprochement de comptes. Les noms permettent de personnaliser les messages. Les numéros de téléphone exposent à de faux appels d’assistance, à des fraudes par SMS et à des demandes faites sous prétexte de récupérer un compte de réseau social.

L’exposition des mots de passe en clair est l’aspect le plus critique de cet incident. Un mot de passe en clair permet à un attaquant de l’essayer sur d’autres services sans avoir à le casser au préalable. Si le même mot de passe reste valide sur différents comptes, même des années plus tard, une ancienne fuite de données d’un réseau social peut devenir un problème actuel de sécurité des comptes.

Pour VK, la date à retenir pour la fuite de données est le 1er janvier 2012, la date d’ajout de la fiche est le 9 juin 2016 et le nombre de comptes concernés est de 93 338 602. Bien que l’incident ait été rendu public en 2016, les données proviennent d’anciens identifiants de connexion au réseau social. Il ne faut donc pas confondre la date de l’annonce avec celle des données lorsqu’on évalue la chronologie de l’incident.

Il convient de s’en tenir aux catégories de données vérifiées. Pour VK, les champs dont la présence peut être indiquée de manière fiable sont les adresses e-mail, les noms, les mots de passe et les numéros de téléphone. Les cartes de paiement, les comptes bancaires, les pièces d’identité, le contenu des messages privés ou les listes de contacts sur le réseau social ne doivent pas être présentés comme des catégories dont la fuite est avérée. L’explication des risques doit reposer sur les usages malveillants possibles de ces quatre champs lorsqu’ils sont combinés.

Le principal groupe à risque comprend les personnes qui possédaient un compte VK en 2012 ou auparavant, ou qui ont utilisé la même adresse e-mail et le même numéro de téléphone sur des réseaux sociaux. Les utilisateurs qui réutilisent le même mot de passe pour leurs comptes de messagerie, d’autres réseaux sociaux, de jeux, d’achats en ligne, de stockage dans le cloud ou professionnels courent un risque plus élevé. Oublier un ancien compte ne supprime pas le risque si son mot de passe est toujours utilisé ailleurs.

Les utilisateurs disposant d’un numéro de téléphone doivent faire preuve d’une vigilance accrue face aux messages évoquant une fausse récupération de compte, une alerte de sécurité, une demande d’ami, une demande de paiement ou un appel d’assistance. Les messages qui mentionnent un nom et une adresse e-mail peuvent sembler crédibles. En particulier, d’anciens contacts sur le réseau social et d’autres comptes créés avec le même nom d’utilisateur peuvent aider les attaquants à donner l’impression qu’ils connaissent la personne.

Si une correspondance a été trouvée pour vous dans le jeu de données VK, vous devez changer le mot de passe de votre compte VK et de tous les comptes sur lesquels ce même mot de passe a été utilisé. Donnez la priorité aux comptes de messagerie, aux réseaux sociaux, aux services de paiement, aux sites d’achats en ligne, au stockage dans le cloud et aux comptes professionnels. Les nouveaux mots de passe doivent être longs, uniques et choisis parmi ceux enregistrés dans un gestionnaire de mots de passe.

Activez l’authentification à deux facteurs sur tous vos comptes importants qui la prennent en charge, vérifiez les sessions actives et les appareils connectés, puis fermez les sessions que vous ne reconnaissez pas. Avant de cliquer sur un lien dans une alerte de sécurité d’un réseau social reçue par e-mail ou sur votre téléphone, connectez-vous en passant par l’adresse web connue du service ou par son application mobile officielle. Ne communiquez jamais de codes à usage unique, de mots de passe de compte ou de liens de récupération lors d’un échange avec un service d’assistance.

À long terme, les protections de base sont un mot de passe unique pour chaque service, un gestionnaire de mots de passe et l’authentification à deux facteurs. Conserver pendant des années la même combinaison d’adresse e-mail et de mot de passe sur des comptes de réseaux sociaux facilite l’utilisation de données issues d’anciennes fuites pour tenter d’accéder à de nouveaux comptes. Vous pouvez envisager d’utiliser une adresse e-mail distincte ou un alias pour vos comptes sensibles.

Vérifiez régulièrement vos anciens comptes de réseaux sociaux, fermez ceux dont vous n’avez plus besoin et maintenez à jour votre adresse e-mail et votre numéro de téléphone de récupération. Lorsque des numéros de téléphone et des adresses e-mail sont exposés, un simple changement de mot de passe ne suffit pas à mettre fin au risque. Vous devez rester durablement vigilant face aux messages frauduleux personnalisés, aux fausses demandes d’ami et aux demandes faites sous prétexte de récupérer un compte.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans le jeu de données VK. Un résultat positif signifie que cette adresse e-mail est présente dans ce jeu de données et que les champs vérifiés doivent être pris en compte dans l’évaluation des risques. Ce résultat ne prouve pas que chaque champ est intégralement renseigné pour chaque utilisateur. Toutefois, compte tenu des risques liés aux mots de passe en clair et aux coordonnées, il constitue un avertissement suffisant pour prendre des mesures de protection.

Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans le jeu de données VK; il n’exclut pas la possibilité que l’adresse figure dans d’autres fuites de données. Si vous obtenez un résultat positif, cessez de réutiliser vos mots de passe, activez l’authentification à deux facteurs, examinez vos anciennes sessions et vérifiez par un canal distinct les messages de sécurité des réseaux sociaux reçus sur votre téléphone ou par e-mail.