Fuite de données de Windows93 / Myspace93 en 2021

Les types de données répertoriés dans cette fiche sont les adresses e-mail, les adresses IP, les mots de passe et les noms d’utilisateur. Le rapprochement entre noms d’utilisateur et adresses e-mail est important, même lorsqu’il s’agit d’anciens comptes de réseaux sociaux ou de sites parodiques. De nombreux utilisateurs reprennent le même pseudonyme sur les forums, les plateformes de jeux, les applications de messagerie et les réseaux sociaux. Les identifiants utilisés pour un compte Myspace93 peuvent donc servir de point de départ pour retracer l’activité d’une personne sur d’autres services.

Le fait que le champ du mot de passe soit en clair est le point le plus critique. Si les utilisateurs concernés se souviennent du mot de passe utilisé sur leur compte Windows93 / Myspace93, ils doivent le remplacer sur tous les comptes où ils utilisent ce même mot de passe ou un mot de passe similaire. Considérer un ancien compte comme sans importance peut être trompeur : les attaquants peuvent essayer d’anciens mots de passe sur des comptes de messagerie, de réseaux sociaux, de boutiques de jeux et de forums. Même si le mot de passe n’est plus utilisé, le risque persiste lorsque le même schéma est repris sur d’autres comptes.

Les adresses IP apportent également des éléments de contexte à cette fuite. Une adresse IP ne permet pas, à elle seule, de déterminer avec certitude une adresse de domicile. Toutefois, associée à des données telles que le nom d’utilisateur, l’adresse e-mail et les horaires de session, elle peut fournir des indices sur la zone géographique approximative d’une personne, son fournisseur d’accès ou ses habitudes de connexion. Dans le cas d’anciens comptes communautaires, ces informations peuvent servir à relier une personne à ses profils sur différentes plateformes.

Sur les services nostalgiques et communautaires comme Windows93 / Myspace93, les utilisateurs sous-estiment souvent les risques de sécurité. D’anciens comptes peuvent avoir été oubliés, alors que le même nom d’utilisateur et le même schéma de mot de passe continuent d’être utilisés ailleurs au fil des années. Les personnes concernées doivent donc vérifier non seulement ce site, mais aussi les comptes de forums, de jeux, de messagerie et de réseaux sociaux qu’elles ont créés à la même période.

Le risque d’ingénierie sociale ne doit pas être négligé. Des messages évoquant un ancien compte, du contenu nostalgique, la récupération d’un profil, l’accès à des archives ou une invitation à rejoindre une communauté peuvent sembler authentiques. Face à de tels messages, il convient de se rendre directement sur le site plutôt que de cliquer sur le lien, de ne pas communiquer son mot de passe ailleurs et de refuser les demandes de téléchargement de fichiers suspects.

Pour les administrateurs d’organisations ou de communautés, cet incident montre que le stockage des mots de passe et le nettoyage des anciens systèmes sont essentiels, même dans de petits projets annexes. Les applications en version bêta, les services secondaires temporaires et les anciennes fonctionnalités sociales peuvent recevoir moins d’attention que le site principal. Pourtant, s’ils contiennent des données d’utilisateurs, ils doivent respecter les mêmes exigences de sécurité. Les tables de comptes inutilisées, les applications de test et les anciennes données d’utilisateurs peuvent devenir des risques de sécurité des années plus tard si elles ne sont pas retirées à temps.

Pour les utilisateurs concernés, la démarche la plus sûre consiste à abandonner complètement leurs anciennes habitudes en matière de mots de passe et à utiliser un mot de passe unique pour chaque compte. La protection du compte de messagerie doit être prioritaire, l’authentification multifacteur doit être activée et l’historique des sessions doit être vérifié. Si des profils publics utilisent le même nom d’utilisateur, il convient de limiter les informations superflues qui permettent de faire directement le lien avec l’identité réelle. Il est ainsi possible d’éviter qu’une ancienne fuite touchant une communauté ne se transforme en un problème de sécurité plus large sur différentes plateformes.

Sur les anciens sites parodiques et communautaires, les risques de sécurité sont souvent sous-estimés en raison de l’âge des données. Pourtant, les mots de passe en clair peuvent encore avoir de la valeur des années plus tard, car les utilisateurs ont tendance à reprendre le même mot en y apportant de petites modifications. Même si les attaquants n’essaient pas directement l’ancien mot de passe, ils peuvent en générer des variantes proches. Il est donc important de se rappeler les schémas de mots de passe utilisés sur les anciens comptes et d’adopter des mots de passe entièrement différents pour les nouveaux comptes.

La fiche Windows93 / Myspace93 montre également que les utilisateurs doivent faire le tri dans leurs traces numériques. Les comptes communautaires inutilisés devraient désormais être fermés, les alertes de sécurité du compte de messagerie devraient rester activées et les anciens profils créés avec le même pseudonyme devraient être passés en revue. Même si une fuite semble ancienne, les données peuvent continuer à circuler sur Internet et créer de nouveaux risques lorsqu’elles sont combinées à d’autres fuites.