Yam Fuite de données

Le jeu de données vérifié contenait des dates de naissance, des adresses e-mail, des noms, des noms d’utilisateur, des numéros de téléphone, des adresses postales et des empreintes de mots de passe obtenues par hachage MD5 sans sel. Rien ne prouve que des mots de passe en clair aient été publiés, mais le hachage MD5 sans sel est une méthode rapide et peu robuste au regard des critères actuels. Le chiffre de 13 258 797 correspond au nombre d’adresses e-mail uniques. Certaines listes secondaires font état d’environ 16 millions d’enregistrements, mais ce total ne correspond pas à un décompte clairement défini de comptes uniques et n’est pas retenu ici.

L’incident concerne des données d’utilisateurs du portail web taïwanais Yam.com datant de juin 2013. Le jeu de données a été examiné et vérifié après son apparition sur un forum de piratage très fréquenté plusieurs années plus tard, en 2021, puis a été intégré à des catalogues publics de fuites de données le 22 mai 2021. Yam est un portail taïwanais établi de longue date, qui a proposé des services de recherche, d’actualités, de messagerie électronique, de blogs, de vidéos et d’échanges communautaires. Cette fiche ne doit donc ni être attribuée à une entreprise américaine au nom similaire, ni présenter Yam comme une simple application de réseau social. Ni la méthode d’accès initial, ni la faille exploitée, ni le serveur ou la sauvegarde dont les informations ont été extraites n’ont été rendus publics. La qualification de fuite de base de données décrit la publication de la base de données des utilisateurs sur un forum; elle n’affirme pas qu’un vecteur d’attaque technique particulier a été utilisé. L’écart de huit ans entre la date de l’incident et celle de son référencement dans les catalogues ne signifie pas que la fuite a eu lieu en 2021.

Les personnes les plus à risque sont celles qui ont ouvert un compte sur le portail Yam ou pour ses services de messagerie, de blog ou d’échanges communautaires vers 2013 et ont réutilisé le même mot de passe ailleurs. Une personne qui a oublié cet ancien compte ou n’utilise plus le service peut rester exposée, car une adresse e-mail, une date de naissance, un numéro de téléphone et une adresse postale ne changent pas automatiquement. Les empreintes MD5 sans sel présentent un risque accru de cassage hors ligne, en particulier pour les mots de passe courts et courants. Si le même mot de passe protégeait le compte de messagerie, des attaquants peuvent obtenir des liens de réinitialisation de mot de passe pour d’autres services. Les adresses et les dates de naissance peuvent aider des criminels à répondre aux questions de vérification peu robustes utilisées par une banque ou un opérateur télécom. Les personnes dont le numéro de téléphone figure dans les données doivent se méfier des appels frauduleux se faisant passer pour des services d’assistance, de livraison ou de sécurité des comptes. Une correspondance ne signifie pas que des cartes de paiement, des comptes bancaires ou des numéros d’identification officiels ont été exposés; ces champs ne font pas partie des catégories de données vérifiées.

Si vous vous souvenez du mot de passe utilisé pour Yam vers 2013, repérez tous les comptes qui utilisent encore ce mot de passe ou un mot de passe similaire. En commençant par vos comptes de messagerie, vos comptes bancaires, vos comptes auprès d’opérateurs télécoms et vos comptes sur les réseaux sociaux, créez pour chaque service un mot de passe unique et long; un gestionnaire de mots de passe fiable réduit la réutilisation. Activez la validation en deux étapes via une application ou une clé de sécurité partout où elle est disponible et mettez fin aux sessions actives que vous ne reconnaissez pas. Vérifiez le numéro de téléphone de récupération, l’adresse de secours, les règles de transfert et les applications connectées à votre compte de messagerie. Ne faites pas confiance à une personne qui prétend représenter Yam ou une autre institution simplement parce qu’elle connaît une ancienne adresse, votre date de naissance ou votre numéro de téléphone, alors qu’elle vous demande un mot de passe, un code à usage unique ou un paiement. Saisissez vous-même l’adresse connue de l’institution plutôt que de suivre un lien reçu dans un message. Si vous recevez des alertes signalant un échec de connexion, une réinitialisation inattendue du mot de passe ou un nouvel appareil, changez immédiatement le mot de passe concerné et consultez l’historique des sessions. Conservez la date, le numéro et les informations sur l’expéditeur des appels et messages suspects.

Une date de naissance et une ancienne adresse ne peuvent pas être remplacées aussi facilement qu’un mot de passe; les mesures de protection doivent donc se poursuivre au-delà des premières semaines. Appuyez-vous sur les rapports de sécurité de votre gestionnaire de mots de passe pour remplacer régulièrement les mots de passe réutilisés, faibles ou déjà exposés. Considérez votre compte de messagerie comme le cœur de votre identité numérique et protégez-le avec un mot de passe robuste, la validation en deux étapes et des options de récupération à jour. Évitez de donner des réponses exactes aux questions de sécurité portant sur un lieu de naissance, une école ou un nom de famille; lorsque le service le permet, créez des réponses aléatoires. Si vous réutilisez le même nom d’utilisateur sur de nombreuses plateformes, gardez à l’esprit que des attaquants peuvent relier ces comptes entre eux et rendre leurs tentatives d’hameçonnage plus convaincantes. Méfiez-vous des messages contenant un ancien numéro de téléphone ou une ancienne adresse, car des criminels peuvent utiliser des données obsolètes pour accréditer une prétendue relation passée. Avant de fermer un compte inutilisé, effacez les champs du profil, déconnectez les applications associées et mettez fin aux sessions actives. Lorsqu’un autre jeu de données Yam apparaît, comparez sa date, ses champs et son nombre de comptes uniques pour déterminer s’il s’agit d’un nouvel incident ou d’une autre copie des données de 2013.

Effectuez une recherche sur LeakData.io avec l’adresse e-mail utilisée pour Yam vers 2013 afin de voir si elle est associée à cette fiche. Une correspondance indique que l’adresse figure dans le jeu de données vérifié; elle ne signifie pas que les sept types de données répertoriés étaient tous renseignés dans l’enregistrement individuel. L’absence de résultat ne prouve pas qu’aucun compte créé avec une autre adresse n’existe; vérifiez donc séparément vos anciennes adresses personnelles et professionnelles. Ne fournissez jamais de mot de passe, d’empreinte de mot de passe, de code à usage unique, d’informations de paiement ni de pièce d’identité en réponse à un résultat de recherche. Si une correspondance apparaît, commencez par mettre fin à la réutilisation de vos anciens mots de passe, sécurisez le compte de messagerie et activez la validation en deux étapes. Lorsque vous examinez de nouveaux chiffres concernant une fuite de données Yam, ne comparez pas le décompte établi de 13 258 797 adresses e-mail uniques au nombre total de lignes ou au chiffre d’environ 16 millions avancé sans vérification comme s’il s’agissait de la même mesure. Distinguer l’incident de juin 2013 de la publication sur le forum en 2021 permet également de conserver une chronologie correcte des risques.