16 milliards d'identifiants et mots de passe subtilisés par des pirates
Des experts en cybersécurité ont révélé l'existence de 30 bases de données contenant pas moins de 16 milliards d'identifiants et mots de passe volés par des pirates. Tous les types de comptes s'y trouvent que ce soit des comptes Google, Apple, Facebook ou même gouvernementaux. Ceci en fait la plus grosse fuite de données de l'histoire.
16 milliards d'identifiants et de mots de passe compromis... C'est un chiffre qui frappe!
C'est comme si tout le monde sur Terre avait deux de leurs comptes de compromis.
Le nœud du problème? Des logiciels malveillants de type "infostealers".
Comment se protéger d'une fuite de données?
Une fuite de données record
En fin mai, on apprenait l'existence d'une fuite comprenant 184 millions de comptes. De la petite piquette à côté de la découverte de l'équipe de Cybernews...
Ces derniers ont découvert 30 bases de données contenant chacun entre quelques dizaines de millions et plus de 3,5 milliards d'identifiants et mots de passe. Au total, les chercheurs ont découvert un nombre ahurissant de 16 milliards d'identifiants et mots de passe.
"Il ne s'agit pas seulement d'une fuite, mais d'un plan d'exploitation massive. Avec plus de 16 milliards d'enregistrements de connexion exposés, les cybercriminels disposent désormais d'un accès sans précédent à des informations d'identification personnelles qui peuvent être utilisées pour la prise de contrôle de comptes, l'usurpation d'identité et l'hameçonnage très ciblé".
Bien que ce nombre soit qu'extrêmement impressionnant, les chercheurs expliquent du même souffle qu'il y a aussi plusieurs doublons à travers ces 30 bases de données. On ignore donc le vrai nombre de comptes uniques qui ont été compromis.
L'autre "bonne nouvelle", c'est que ces informations n'auraient pas été exposées longtemps sur le web.
N'empêche, les données peuvent certainement être entre les mains de pirates informatiques qui vont se donner à cœur joie pour tenter d'infiltrer les comptes pour lesquels ils ont les informations de connexion.
Comment les données ont fuité?
Selon le rapport des chercheurs, les données semblent avoir été récoltées via ce qu'on appelle des "infostealers" ainsi qu'avec des tactiques de "credential stuffing".
À l'image du logiciel malveillant Chihuahua, un "infostealer" est un type de logiciel malveillant spécifiquement conçu pour dérober des informations sensibles sur un ordinateur infecté.
Ces malwares s’attaquent surtout aux informations de connexion qu’on garde dans nos navigateurs, nos applications de courriel ou de messagerie.
Les cybercriminels les diffusent souvent en les cachant dans des courriels d’hameçonnage, sur des sites web douteux ou dans des logiciels piratés.
Quant au "credential stuffing", c'est une tactique consistant à se servir d'informations volées pour tenter de se connecter à d'autres comptes utilisant les mêmes identifiants et mots de passe.
Quels comptes sont à risques?
Le rapport des chercheurs ne liste pas de façon exhaustive l'ensemble des comptes qui ont été compromis.
Ces derniers mentionnent des comptes:
Comment se protéger face à une telle fuite?
On ne peut pas faire marche arrière quand des données ont fuité. C’est un peu comme un déversement de pétrole dans l’océan… impossible à récupérer complètement. Mais c’est justement pour ça qu’il faut redoubler de vigilance!
Avec une brèche de cette ampleur, c’est plus important que jamais de revoir nos propres mesures de sécurité personnelle.
Voici des recommandations pour protéger ses comptes.
Changez vos mots de passe régulièrement
Changer ses mots de passe régulièrement, c’est un bon réflexe pour protéger ses comptes, surtout si l’ancien a pu être compromis dans une fuite.
Utilisez des mots de passe uniques et complexes
Utiliser le même mot de passe-partout, c’est une erreur de base qui peut coûter cher. Si un seul compte est piraté, tous les autres deviennent vulnérables.
C’est là qu’un bon gestionnaire de mots de passe entre en jeu : il génère des mots de passe solides pour nous, et surtout, il nous aide à avoir un mot de passe unique et sécurisé pour chaque compte.
Nos recommandations de gestionnaire de mots de passe
Activez l'authentification à deux facteurs (2FA)
C’est une protection supplémentaire vraiment essentielle. Dès qu’un site ou une plateforme propose l’authentification à deux facteurs, on a tout à gagner à l’activer.
Même si un pirate met la main sur notre mot de passe, il devra passer un obstacle de plus.
Idéalement, on privilégie une application 2FA plutôt que les codes reçus par texto, qui sont moins sécurisés.
Oui, ça ajoute une petite étape au moment de se connecter, mais c’est un petit prix à payer pour garder nos comptes à l’abri.
Vérifiez si vos informations d'identification ont été exposées
On peut utiliser des outils fiables, comme haveibeenpwned, pour vérifier si notre adresse courriel a été repérée dans une fuite de données connue.
Mais attention: l’absence de résultat ne veut pas dire que notre compte est 100 % à l’abri.
D’où l’intérêt de changer ses mots de passe de temps en temps. C’est une bonne habitude à adopter, par mesure de précaution.
Surveillez vos comptes
Si nos comptes offrent l’option, c’est vraiment utile d’activer les alertes de connexion ou les notifications d’activité suspecte.
Ça permet de repérer rapidement s’il se passe quelque chose d’anormal. Voir les lieux ou appareils de connexion peut aussi nous aider à détecter un accès non autorisé.
Utiliser un bon antivirus
Un bon antivirus peut repérer et éliminer les malwares de type infostealers, du moment qu’ils sont connus et répertoriés dans sa base de données.
Il peut aussi nous aider à détecter les courriels d’hameçonnage et bloquer les liens dangereux.
Et surtout, il ne faut jamais négliger les mises à jour de nos appareils et applications. Elles corrigent des failles de sécurité et nous protègent contre les nouvelles menaces.
Nos recommandations d'antivirus pour mobile
Nos recommandations d'antivirus pour ordinateur
Exiger la suppression de ses données chez les courtiers de données
Une autre mesure qu’on peut prendre pour protéger notre vie privée, c’est de demander la suppression de nos informations auprès des courtiers de données.
Ces entreprises récoltent nos données de toutes sortes de façons pour les revendre à des fins publicitaires.
Le problème? Si l’une d’elles subit une fuite, ce sont nos infos qui se retrouvent exposées.
Des services comme Incogni peuvent nous aider. Ils agissent en quelque sorte comme nos représentants pour faire retirer nos données de ces bases.
On peut même les utiliser pour cibler un site en particulier et demander la suppression de nos infos sur des sites précis.
