Fuite de données chez YouNow

Les catégories de données dont l’exposition est vérifiée sont les adresses e-mail, les adresses IP, les noms, les noms d’utilisateur et les liens vers des profils de réseaux sociaux. L’annonce de vente mentionnait environ 40 millions de lignes de données de comptes, tandis que l’index fiable recensait 18 241 518 adresses e-mail uniques. De nombreuses lignes ne comportaient aucune adresse e-mail : ces chiffres correspondent donc à des niveaux de granularité différents et ne doivent pas être additionnés. Le chiffre de 40 millions ne doit pas non plus être présenté comme un nombre de personnes distinctes. YouNow authentifiait ses utilisateurs par l’intermédiaire de fournisseurs d’identité de réseaux sociaux et a déclaré que le jeu de données concerné par l’incident ne contenait aucun mot de passe. Un lien vers un profil de réseau social peut relier une identité YouNow à la présence d’une personne sur une autre plateforme, tandis que les noms et les noms d’utilisateur facilitent une usurpation d’identité personnalisée. Les adresses e-mail permettent l’hameçonnage et l’identification de comptes, et les adresses IP peuvent fournir des indications sur la région approximative et le contexte de connexion. Les mots de passe des comptes de réseaux sociaux, les jetons d’accès, les messages privés, les informations de paiement et le contenu des diffusions ne font pas partie des catégories de données dont l’exposition est vérifiée ici; les ajouter dépasserait les éléments de preuve disponibles.

Des données de comptes associées à YouNow ont été mises en vente le 14 février 2019, aux côtés d’autres grandes bases de données. La date du 15 février figurant dans cette fiche est une référence du catalogue; les éléments disponibles ne permettent pas d’établir le jour de l’extraction. L’annonce faisait état de 40 millions de lignes, mais les enregistrements sans adresse e-mail ont conduit à un décompte vérifié inférieur d’adresses e-mail uniques. Une faiblesse commune aux bases de données de plusieurs sites a été évoquée, mais aucune faille de PostgreSQL, aucun bogue applicatif ni aucune erreur de configuration n’ont été démontrés pour YouNow. La méthode d’accès ne doit pas être déduite de ces éléments. L’expression « fuite de base de données » décrit la diffusion en bloc des informations de comptes sous forme de base de données; la connexion via un réseau social ne signifie pas qu’un fournisseur d’identité a subi une fuite. L’absence de mots de passe ne rend pas les données inoffensives, mais cet incident ne doit pas être décrit comme une exposition de mots de passe.

Les personnes qui ont utilisé YouNow avant février 2019 et y ont associé une adresse e-mail, un nom, un nom d’utilisateur ou un profil de réseau social constituent le principal groupe à risque. Réutiliser le même pseudonyme sur plusieurs plateformes facilite le rapprochement des profils et le ciblage d’une personne par usurpation d’identité. Les adresses e-mail peuvent servir à envoyer des messages frauduleux prenant la forme d’alertes de sécurité, d’invitations à des diffusions, de notifications relatives aux droits d’auteur ou de messages de vérification ou de récupération de compte. Une adresse IP n’est pas une adresse de domicile, mais des indications sur une localisation approximative, un fournisseur d’accès ou une période de connexion peuvent rendre un message crédible. Puisqu’aucun mot de passe n’est présent, une correspondance ne prouve pas qu’un attaquant pouvait se connecter au compte du réseau social ou prendre le contrôle du compte YouNow. Un lien vers un profil de réseau social ne signifie pas non plus qu’un jeton d’accès a fuité. L’exposition des données, le rapprochement de profils entre plateformes, l’hameçonnage et l’utilisation abusive avérée d’un compte sont des risques distincts.

Si une correspondance est trouvée, sécurisez votre compte auprès du fournisseur d’identité utilisé pour YouNow, ainsi que le compte e-mail associé. Activez l’authentification multifacteur, vérifiez les informations de récupération, fermez les sessions que vous ne reconnaissez pas et supprimez les applications connectées que vous n’utilisez plus. Pour les messages qui se présentent comme provenant de l’assistance de YouNow ou d’un réseau social, examinez le domaine réel de l’expéditeur et la destination des liens; ouvrez l’application ou saisissez vous-même l’adresse plutôt que de vous connecter depuis un message. L’exposition de mots de passe n’étant pas vérifiée, ne déduisez pas de cette seule fiche que le mot de passe de votre compte auprès du fournisseur d’identité a fuité. Remplacez néanmoins les mots de passe réutilisés par des mots de passe uniques, car ils peuvent figurer dans un autre incident. Si vous découvrez un profil usurpant votre identité, une diffusion non autorisée, une application inconnue ou une modification inattendue des paramètres de récupération, conservez les preuves, fermez les sessions et signalez le problème à l’assistance officielle.

La connexion via un réseau social est pratique, mais un seul fournisseur peut devenir la porte d’entrée vers de nombreux comptes. Utilisez des mots de passe uniques pour votre compte e-mail principal et vos comptes de réseaux sociaux, conservez-les dans un gestionnaire de mots de passe et activez l’authentification multifacteur avec une application ou une clé de sécurité matérielle. Vérifiez régulièrement les autorisations des applications connectées, supprimez les services inutilisés et n’accordez pas à une application des accès à votre profil dont elle n’a pas besoin. Utiliser le même nom d’utilisateur sur plusieurs plateformes facilite le rapprochement des identités; envisagez des pseudonymes distincts ou des alias e-mail pour séparer votre identité publique de diffuseur de vos comptes privés. Limitez, dans vos profils, les informations superflues de localisation et de contact, ainsi que les liens inutiles vers d’autres réseaux. Ne vous contentez pas de supprimer l’application pour abandonner un compte; utilisez les options de fermeture du compte et de suppression des données. Vérifiez les notifications de sécurité directement dans le service plutôt qu’en suivant un lien reçu par e-mail, et continuez à vérifier périodiquement si vos données ont été exposées.

Une correspondance pour une adresse e-mail signifie que celle-ci figurait dans le jeu de données associé à YouNow, qui contient 18 241 518 adresses uniques. Elle ne prouve pas que les 40 millions de lignes annoncées correspondaient à des utilisateurs distincts, que le compte est toujours ouvert, qu’un mot de passe était visible ou qu’un fournisseur d’identité de réseau social a été compromis. Si une correspondance est trouvée, vérifiez les sessions, les applications connectées et les paramètres de récupération du compte de réseau social utilisé pour vous connecter, et surveillez les fausses notifications YouNow ciblant votre adresse e-mail ou votre nom d’utilisateur. L’absence de correspondance n’est pas une garantie absolue de sécurité : vous pouvez avoir utilisé une autre adresse e-mail, n’avoir figuré que dans une ligne sans adresse e-mail ou avoir été concerné par un autre incident. Les services de vérification ne couvrent que les jeux de données indexés. Ne perdez pas de vue que les mots de passe étaient absents et ne décrivez pas un lien vers un profil de réseau social comme un jeton d’accès. Pour les messages suspects, évaluez conjointement le domaine de l’expéditeur, la destination des liens, la pression exercée pour vous faire agir et les demandes de mots de passe ou de codes de vérification.