Fuite de données de Web Hosting Talk en 2016

Dans les communautés comme Web Hosting Talk, les utilisateurs sont généralement liés à des hébergeurs, à des administrateurs système, à des développeurs, à des comptes revendeurs et à des services d’infrastructure. Le rapprochement d’une adresse e-mail et d’un nom d’utilisateur peut donc donner aux attaquants des indices sur le rôle technique d’une personne ou les services qu’elle utilise. De fausses factures d’hébergement, des messages de renouvellement de domaine, des avertissements de sécurité concernant un serveur ou des messages liés à des tickets d’assistance peuvent ainsi paraître plus crédibles.

Les adresses IP peuvent fournir des informations sur l’historique d’accès au forum ou sur le contexte approximatif des connexions de l’utilisateur. À elles seules, elles ne constituent pas une preuve certaine de son identité; toutefois, associées au nom d’utilisateur, à l’adresse e-mail et à l’appartenance à une communauté technique, elles deviennent utiles pour mener des attaques ciblées. Les utilisateurs techniques devraient se méfier des fausses notifications de sécurité et des messages de mise à jour urgente visant leur propre infrastructure.

L’un des principaux risques liés au champ contenant les mots de passe est celui des tentatives de bourrage d’identifiants. Même si le mot de passe d’un forum semble ancien et sans importance, le même schéma de mot de passe peut avoir été utilisé pour d’autres comptes techniques. Si des comptes d’hébergement et de gestion de noms de domaine sont compromis, les sites web, les boîtes de réception et les données des clients peuvent être touchés. Les mots de passe uniques et l’authentification multifacteur devraient donc être obligatoires pour les comptes techniques.

Le contexte du forum présente également un intérêt en matière de réputation et de relations professionnelles. Un nom d’utilisateur peut être associé à une entreprise, à une marque ou à un membre du personnel d’assistance. Les attaquants peuvent exploiter cette association dans de faux messages de clients ou de fausses demandes d’assistance. Si vous vous êtes inscrit avec une adresse e-mail professionnelle, vous devriez vous assurer que vos anciens mots de passe de forum ne sont pas utilisés dans d’autres systèmes internes.

Pour les organisations, l’incident de Web Hosting Talk montre que les forums communautaires sont des cibles de grande valeur lorsqu’ils rassemblent des utilisateurs techniques. Un compte de forum ne donne pas directement accès à un serveur; il fournit toutefois le contexte nécessaire à l’ingénierie sociale. Les anciennes tables d’utilisateurs, les empreintes de mots de passe et les journaux d’adresses IP ne devraient pas être conservés inutilement, et les algorithmes de traitement des mots de passe devraient être régulièrement mis à jour.

Si vous êtes concerné, vous devriez vérifier les mots de passe de vos comptes d’hébergement, de gestion de domaines, de DNS, de gestion des serveurs, de portail client et de gestion des e-mails. Examinez attentivement les liens reçus au nom de Web Hosting Talk ou dans le cadre de la sécurité de l’hébergement. Si une action est nécessaire, passez par le panneau de gestion habituel de votre fournisseur. D’anciennes données de forum peuvent présenter un risque qui s’étend aux comptes de l’infrastructure technique.

Un autre risque pour les membres de communautés techniques tient au lien entre leurs anciennes adresses e-mail de forum et leur identité professionnelle. Si la même adresse a été utilisée dans des interfaces d’assistance client, des comptes de gestion de domaines ou auprès de fournisseurs de serveurs, les attaquants peuvent exploiter ce lien dans de fausses alertes de sécurité. Vérifiez tout particulièrement les messages concernant la suspension d’un serveur, du trafic malveillant, des factures ou des renouvellements de domaine.

La publication consacrée à Web Hosting Talk rappelle également qu’un mot de passe de forum peut faire peser un risque sur l’infrastructure technique. La compromission d’un compte de forum ne suffit pas nécessairement à donner accès à un serveur; le risque augmente toutefois lorsque la réutilisation d’un mot de passe, une même adresse e-mail et un contexte technique se combinent. Vous devriez mettre à jour vos anciens mots de passe de forum dans un gestionnaire de mots de passe et privilégier une clé de sécurité matérielle ou une authentification par application pour les panneaux de gestion critiques.

Les organisations devraient également évaluer ces anciennes données de forum sous l’angle de la sécurité des employés. Un compte de forum enregistré avec une adresse e-mail professionnelle peut permettre aux attaquants de cibler un employé en s’appuyant sur son rôle dans l’assistance technique ou la gestion de l’infrastructure. Toutefois, un tel rapprochement ne devrait pas, à lui seul, être considéré comme une preuve d’utilisation abusive et devrait être traité dans une démarche axée sur la sécurité des comptes.

Si cette fiche correspond à votre adresse e-mail, vérifiez vos comptes en examinant un à un les types de données répertoriés. Même si l’incident est ancien, une adresse e-mail, un mot de passe, un numéro de téléphone, une adresse ou des éléments liés à l’identité peuvent être recoupés avec d’autres jeux de données, puis utilisés dans des fraudes ciblées.

La priorité est de modifier les mots de passe des comptes qui utilisent le même mot de passe, d’activer la vérification en deux étapes sur les comptes critiques, de fermer les sessions inattendues et d’utiliser la page de connexion habituelle plutôt que de cliquer sur de fausses notifications. Même si le mot de passe ne figure pas dans les données de cette fiche, l’adresse e-mail et les champs du profil peuvent suffire à mener des attaques par hameçonnage.