5 millions d’adresses Gmail publiées sur un forum bitcoin
Ce lundi, 5 millions d’adresses e-mail et de mots de passe liés au service de messagerie électronique Mail.ru étaient publiés sur le forum bitsec.com. Rebelote ce mardi, mais avec Gmail.
Près de 5 millions de mots de passe associés à des comptes ouverts sur le service de messagerie électronique Mail.ru, plus d’un million d’identifiants liés au moteur de recherche Yandex : les fuites de données se multiplient depuis le début de la semaine sur le forum russophone bitsec.com, dédié à la monnaie virtuelle bitcoin.
La liste s’est allongée mardi soir avec la découverte d’une archive contenant environ 5 millions d’adresses Gmail… et autant de mots de passe stockés en clair. Le groupe Internet n’a pas tardé à réagir pour dissiper les craintes. Se confiant à la presse sur place, plusieurs de ses porte-parole ont souligné le caractère obsolète de la plupart des informations (publiées par l’utilisateur tvskit, qui a joint une capture d’écran) : un grand nombre de comptes sont aujourd’hui fermés ; parmi ceux encore actifs, seule une petite partie exploite toujours le même mot de passe.
Le membre de bitsec.com à l’origine de la fuite assure pour sa part que « 60% des mots de passe [figurant dans l’archive] sont encore valides« . Les experts en sécurité informatique s’estiment dans l’impossibilité de confirmer ce pourcentage, mais le jugent légitime, de nombreuses données étant datées de moins de trois ans – qu’elles concernent des utilisateurs anglophones, hispanophones ou russophones.
La firme danoise CSIS Security, spécialisée dans les solutions de protection informatique à destinations des organisations et gouvernements, exclut la piste d’une nouvelle cyber-attaque. On aurait plutôt affaire à des « fonds de cuves », en d’autres termes des données d’authentification récupérées çà et là depuis plusieurs années lors de divers actes de piratage et campagnes de phishing. Principal indice en ce sens : au moins cinq des adresses e-mail volées n’ont jamais été utilisées sur des services Google. Elles auraient en fait été utilisées comme identifiants de connexion sur d’autres sites… dont la sécurité a donc été déjouée.
Le site Is My Email Leaked ? propose un outil permettant de vérifier si une adresse mail est présente dans la base de données postée sur bitsec.com. Ses créateurs en profitent pour rappeler deux règles de base pour l’utilisation de services Web : changer régulièrement son mot de passe et adopter, si possible, l’authentification forte, qui implique généralement la saisie d’un code aléatoire envoyé sur téléphone mobile.
—— A voir aussi ——
Quiz ITespresso.fr : que savez-vous de l’hébergement Web ?
Crédit photo : Pavel Ignatov – Shutterstock.com