Youku Fuite de données

Les catégories de données vérifiées dans le jeu de données Youku sont les adresses e-mail et les mots de passe. Les adresses e-mail peuvent servir à des opérations d’hameçonnage ciblé, au rapprochement de comptes, à l’envoi de courriers indésirables et à de fausses notifications de sécurité. Le champ des mots de passe contient des empreintes MD5; cela ne signifie pas que les mots de passe sont directement visibles en clair, mais ce format accroît le risque que des mots de passe faibles soient retrouvés.

Des attaquants peuvent tenter d’utiliser la même combinaison d’adresse e-mail et de mot de passe sur des réseaux sociaux, des messageries, des sites d’achat, des services de jeux, de vidéo ou de stockage dans le cloud, ainsi que sur des comptes professionnels. Si le même mot de passe est réutilisé sur différents services, une ancienne fuite provenant d’une plateforme vidéo peut devenir un risque actuel de prise de contrôle de comptes. L’adresse e-mail peut aussi être utilisée pour envoyer des messages portant sur de faux abonnements, des avertissements relatifs aux droits d’auteur, la sécurité du compte vidéo ou des notifications de paiement.

La date à retenir pour la fuite de données de Youku est le 1er décembre 2016, la date d’ajout de la fiche est le 15 avril 2017 et le nombre de comptes concernés est de 91 890 110. Les champs de données vérifiés sont les adresses e-mail et les mots de passe. Le champ des mots de passe est associé au format de hachage MD5; cette distinction est importante pour décrire avec précision le risque pour les utilisateurs.

Lors de la présentation du périmètre, les numéros de téléphone, les adresses postales, les cartes de paiement, les documents d’identité, les messages privés, l’historique de suivi ou l’historique de mise en ligne de vidéos ne doivent pas être présentés comme des données dont la divulgation est certaine. Le périmètre établi de manière fiable concerne l’identification des comptes et les risques liés aux empreintes de mots de passe. L’avertissement destiné aux utilisateurs doit donc porter sur la réutilisation des mots de passe, l’hameçonnage par e-mail et les vérifications de sécurité des comptes.

Le principal groupe à risque comprend les personnes qui possédaient un compte Youku en 2016 ou auparavant, ou qui utilisaient la même adresse e-mail pour des services de vidéo, des réseaux sociaux et des services de divertissement. Les utilisateurs qui réutilisent le même mot de passe pour leur messagerie, leurs réseaux sociaux, leurs sites d’achat, leurs comptes de jeux, leur stockage dans le cloud ou leur compte professionnel sont davantage exposés.

Les utilisateurs possédant d’anciens comptes sur des services de vidéo et de divertissement basés en Chine doivent se méfier des faux messages concernant la sécurité du compte, les droits d’auteur, le renouvellement d’un abonnement, la suppression d’une vidéo ou une alerte de paiement. Les attaquants peuvent préparer des messages donnant l’impression d’une véritable relation avec le service, même s’ils ne connaissent que l’adresse e-mail. En cas de réutilisation du mot de passe, le risque s’étend aux autres comptes.

Si une correspondance avec Youku est détectée pour votre adresse e-mail, vous devez changer le mot de passe de votre compte Youku et de tous les comptes qui utilisent le même mot de passe. La priorité doit être donnée aux messageries, aux réseaux sociaux, aux sites d’achat, aux services de jeux, de vidéo et de stockage dans le cloud, ainsi qu’aux comptes professionnels. Les nouveaux mots de passe doivent être longs, uniques et choisis parmi ceux enregistrés dans un gestionnaire de mots de passe.

Activez l’authentification à deux facteurs sur tous vos comptes importants qui la prennent en charge, vérifiez les sessions actives et les appareils connectés, et fermez les sessions que vous ne reconnaissez pas. Si vous recevez un message concernant la sécurité d’un compte vidéo, un abonnement, les droits d’auteur, un paiement ou un avertissement lié à un ancien compte, connectez-vous via l’adresse web connue du service ou son application officielle avant de cliquer sur un lien. Ne communiquez aucun code à usage unique, mot de passe de compte ou lien de récupération lors d’échanges avec l’assistance.

À long terme, les protections de base sont un mot de passe unique pour chaque service, un gestionnaire de mots de passe et l’authentification à deux facteurs. Les comptes de services de divertissement et de vidéo sont souvent jugés peu sensibles; pourtant, lorsque les mêmes combinaisons d’adresse e-mail et de mot de passe sont utilisées, les données de ces comptes peuvent servir à tenter d’accéder à des services plus importants.

Vérifiez régulièrement vos anciens comptes de vidéo, de jeux et de divertissement, fermez ceux dont vous n’avez plus besoin et maintenez vos adresses e-mail de récupération à jour. Lors de fuites associées à d’anciens formats de hachage de mots de passe comme MD5, la réinitialisation complète du mot de passe est la mesure la plus importante. L’exposition d’une adresse e-mail pouvant entraîner l’envoi de messages ciblés pendant longtemps, vérifiez les liens suspects par un canal distinct.

La vérification LeakData indique si l’adresse e-mail recherchée figure dans le jeu de données Youku. Un résultat positif signifie que l’adresse e-mail est présente dans ce jeu de données et que les champs de données vérifiés doivent être pris en compte pour évaluer le risque. Ce résultat ne prouve pas qu’une carte de paiement, un numéro de téléphone, un historique de navigation ou le contenu de messages privés ont été exposés.

Un résultat négatif signifie uniquement qu’aucune correspondance n’a été trouvée dans le jeu de données Youku; il n’exclut pas la possibilité que l’adresse figure dans d’autres fuites de données. Si vous obtenez un résultat positif, cessez de réutiliser vos mots de passe, activez l’authentification à deux facteurs, passez en revue vos anciennes sessions et vérifiez par un canal distinct les messages de sécurité concernant des comptes de vidéo ou de divertissement.