Fuite de données chez Wattpad

Les champs de données vérifiés comprennent les biographies, les dates de naissance, les adresses e-mail, les informations sur le genre, les informations de localisation géographique, les adresses IP, les noms complets, les mots de passe, les profils sur les réseaux sociaux, les adresses des sites web des utilisateurs et les noms d’utilisateur. Chacun de ces champs présente à lui seul un certain risque, mais leur combinaison permet de constituer un profil bien plus précieux pour les attaquants. L’association d’une adresse e-mail et d’un nom d’utilisateur peut servir à retrouver les comptes d’une même personne sur différentes plateformes. La date de naissance, le nom complet et les informations de localisation renforcent la crédibilité des attaques d’ingénierie sociale. Les adresses IP peuvent fournir des indices supplémentaires sur la zone depuis laquelle l’utilisateur se connecte et sur ses habitudes d’accès à Internet. Les biographies, les profils sur les réseaux sociaux et les liens vers des sites web personnels peuvent également renseigner sur les centres d’intérêt, l’identité professionnelle, le cercle social ou les habitudes en ligne de l’utilisateur.

Le champ contenant les mots de passe doit lui aussi être examiné. Même si les mots de passe stockés sous une forme cryptographique sont mieux protégés que ceux stockés en clair, les mots de passe faibles, courts ou déjà utilisés peuvent être cassés avec le temps. Si le même mot de passe est réutilisé pour la messagerie, les réseaux sociaux, les jeux, les achats en ligne ou les comptes professionnels, des comptes extérieurs à Wattpad peuvent également être menacés. Changer uniquement le mot de passe Wattpad peut donc ne pas suffire : tous les comptes utilisant des mots de passe identiques ou similaires doivent être traités individuellement. Les informations de profil associées à l’adresse e-mail peuvent faciliter des tentatives d’hameçonnage sous la forme de faux messages d’assistance, d’alertes de sécurité des comptes ou de fausses pages invitant l’utilisateur à saisir son mot de passe.

Le périmètre vérifié concerne 268 765 495 comptes, et la date retenue pour l’incident est le 29 juin 2020. Ce chiffre représente une base d’utilisateurs très importante pour une plateforme de lecture sociale comptant de nombreux membres, comme Wattpad. Les champs de données comprenant des informations d’identité personnelle, des identifiants de compte, des coordonnées et des données relatives aux mots de passe, les conséquences de la fuite ne se limitent pas à la sécurité de la connexion. Les informations de profil, qui peuvent être rapprochées de l’historique de lecture, d’écriture et d’interactions communautaires sur la plateforme, risquent de permettre le rapprochement de différentes facettes de l’identité en ligne des utilisateurs. Les personnes concernées ne doivent donc pas considérer cette fuite comme un simple événement ancien : leurs adresses e-mail et leurs noms d’utilisateur pourraient encore servir à des attaques ciblées, même des années plus tard.

Les limites du périmètre doivent également rester claires lors de son évaluation. Le périmètre vérifié ne comprend pas les informations de paiement, le contenu des messages privés, le contenu des récits ni les numéros de téléphone. Cette distinction est importante, car elle permet de se concentrer sur les risques réels sans susciter de panique inutile. À l’inverse, même si la présence de données financières n’est pas vérifiée, la divulgation des adresses e-mail, des mots de passe et des informations de profil rend les risques de prise de contrôle de comptes et d’hameçonnage suffisamment sérieux. Selon les informations disponibles, les mots de passe des utilisateurs actifs sont stockés sous une forme cryptographique avec salage, ce qui réduit le risque de divulgation de mots de passe en clair. Toutefois, les risques liés aux pratiques des utilisateurs, comme le choix de mots de passe faibles, leur réutilisation et l’oubli d’anciens comptes, persistent.

Les personnes qui utilisent aussi le mot de passe de leur compte Wattpad sur d’autres plateformes font partie du groupe le plus exposé. Si ce même mot de passe a été utilisé pour leur compte de messagerie, leur profil sur les réseaux sociaux, leur compte de jeu, leur service de stockage dans le cloud ou leur environnement professionnel, des attaquants peuvent tenter d’accéder à plusieurs comptes à partir d’un seul jeu de données. Le deuxième groupe à risque comprend les utilisateurs qui partagent leur véritable nom, leur date de naissance, leur localisation, des liens vers leurs réseaux sociaux ou leur site web personnel dans leur profil. Ces informations peuvent servir à rédiger des messages donnant l’impression de connaître la victime, de fausses demandes de vérification de compte ou des contenus d’hameçonnage personnalisés. Les jeunes utilisateurs, les créateurs de contenu et les profils d’auteurs très suivis constituent à cet égard des cibles plus visibles.

Les personnes qui n’utilisent plus leurs anciens comptes Wattpad ne sont pas non plus à l’abri. Les mots de passe des comptes inutilisés restent souvent inchangés pendant de longues périodes et peuvent encore être valables sur d’autres services liés à la même adresse e-mail. De plus, si l’adresse e-mail n’a pas changé au fil des années, les données divulguées peuvent toujours constituer une liste de cibles exploitable par les attaquants. Le risque est encore plus élevé pour les utilisateurs qui ont ouvert leur compte Wattpad avec une adresse e-mail professionnelle, car une fuite sur une plateforme personnelle peut ouvrir la voie à des tentatives d’hameçonnage visant leur identité professionnelle. Les utilisateurs concernés doivent donc évaluer non seulement leur compte Wattpad, mais aussi tous leurs comptes numériques liés à la même adresse e-mail et aux mots de passe qu’ils ont utilisés au fil du temps.

La première étape consiste à remplacer le mot de passe du compte Wattpad par un mot de passe robuste et unique. Si un mot de passe identique ou similaire a été utilisé sur d’autres comptes, un mot de passe différent doit être défini pour chacun d’eux. Un gestionnaire de mots de passe facilite la création de mots de passe longs et uniques pour chaque service. L’authentification à deux facteurs doit être activée sur tous les comptes qui le permettent. La protection des comptes principaux, comme les comptes de messagerie, les profils sur les réseaux sociaux et les comptes auxquels sont envoyés les liens de réinitialisation des mots de passe, doit être prioritaire. Si le compte de messagerie est compromis, le processus de réinitialisation des mots de passe d’autres services peut lui aussi être détourné.

La deuxième étape consiste à adopter des vérifications plus rigoureuses face aux e-mails et messages suspects. Il ne faut pas cliquer directement sur les liens envoyés sous prétexte de sécurité Wattpad, de vérification de compte, de notification relative aux droits d’auteur, de validation de profil ou de réinitialisation de mot de passe. Les utilisateurs doivent vérifier leur compte en saisissant eux-mêmes le nom de domaine dans leur navigateur ou en passant par l’application mobile officielle. L’adresse des liens contenus dans les e-mails doit être examinée attentivement. En présence de caractères supplémentaires dans le domaine, de différences d’orthographe ou d’une chaîne de redirections, il faut interrompre la démarche. Il convient également de fermer les anciennes sessions, de supprimer les appareils non reconnus et de vérifier les adresses e-mail de récupération des comptes.

La fuite de données Wattpad fait partie des incidents majeurs qui illustrent les effets à long terme de la réutilisation des mots de passe. Les utilisateurs doivent prendre l’habitude durable d’utiliser un mot de passe différent pour chaque service. Un gestionnaire de mots de passe offre une solution pratique pour créer des mots de passe robustes et les stocker en toute sécurité. Il est également possible de réserver différentes adresses e-mail à différents usages : lorsque les plateformes sociales, les comptes financiers et les comptes professionnels sont liés à la même adresse e-mail, les conséquences d’une seule fuite s’amplifient. L’authentification à deux facteurs, la vérification des appareils de confiance et l’examen régulier des options de récupération des comptes essentiels réduisent le risque à long terme.

La confidentialité du profil doit également faire partie d’une stratégie à long terme. Limiter le partage public de la biographie, des liens vers les réseaux sociaux, du site web personnel, de la date de naissance et des informations de localisation réduit les éléments de contexte que de futures fuites de données pourraient fournir aux attaquants. Les utilisateurs doivent régulièrement examiner la quantité de données qu’ils partagent sous leur véritable identité dans les communautés en ligne. Les anciens comptes doivent être fermés ou, à défaut, leurs mots de passe et leurs informations de récupération doivent être mis à jour. L’utilisation d’un même nom d’utilisateur sur différentes plateformes facilite le rapprochement des comptes par les attaquants. Il peut donc être préférable d’utiliser des noms d’utilisateur différents pour les comptes sensibles ou professionnels.

La vérification d’une adresse e-mail pour Wattpad sur LeakData vous aide à déterminer si votre adresse est associée à cette fuite de données. Si le résultat est positif, changez d’abord votre mot de passe Wattpad ainsi que les mots de passe de tous les autres comptes où vous utilisez le même. Examinez ensuite l’historique de connexion de votre compte de messagerie, ses règles de transfert, ses informations de récupération et les appareils non reconnus. Vérifiez attentivement les messages suspects reçus au cours des dernières semaines ou des derniers mois, en particulier les notifications relatives à la réinitialisation des mots de passe et à la sécurité des comptes. Même si votre adresse e-mail n’apparaît pas dans cette fuite, les bonnes pratiques générales de sécurité des comptes restent importantes, car le même nom d’utilisateur, les liens vers vos réseaux sociaux ou les informations relatives à votre site web personnel pourraient figurer dans d’autres jeux de données.

Face à la fuite de données Wattpad, l’approche recommandée consiste avant tout à ne pas se contenter d’un changement de mot de passe ponctuel. Vérifiez régulièrement où votre adresse e-mail est utilisée, si vos anciens comptes sont toujours actifs, combien de plateformes partagent le même mot de passe et dans quelle mesure vos informations de profil sont accessibles au public. Maintenir les paramètres de sécurité de vos comptes à jour, activer l’authentification à deux facteurs et faire preuve de prudence face aux messages suspects contribuent à une protection à long terme. Cet incident montre que les données de profil partagées sur de grandes plateformes sociales peuvent être exploitées dans des scénarios d’attaque même des années plus tard. Les utilisateurs de Wattpad doivent donc réévaluer la sécurité de leurs comptes et de la messagerie associée.