Fuite record : 2 milliards d’adresses e-mail et 1,3 milliard de mots de passe exposés
Une nouvelle fuite de données massive a rendu publiques près de 2 milliards d’adresses e-mail et 1,3 milliard de mots de passe, selon le chercheur en securite Troy Hunt qui a indexe l’ensemble sur la plateforme Have I Been Pwned (HIBP). Il s’agit du plus grand jeu de donnees jamais expose a ce jour.
Les faits
Les informations mises en ligne ne proviennent pas d’une seule violation recente, mais d’une compilation realisee par la plateforme de veille sur les menaces Synthient. Ces donnees regroupent des identifiants issus de fuites connues et forment un corpus extremement large et reutilisable par des acteurs malveillants.
Différence avec les « stealer logs »
Contrairement aux « stealer logs », recemment mediatises et alimentes par des logiciels malveillants sur des machines infectees, ce nouvel ensemble reprend essentiellement des credentials issus de violations diverses et preexistantes. Il s’agit donc d’une consolidation de donnees publiees ou fuitées precedemment, et non d’un vol recemment effectue par un malware sur un PC cible.
Risques pour les utilisateurs
Les listes de couples e-mail/mot de passe sont utilisees pour des attaques automatisees de type « credential stuffing » : les cybercriminels tentent de se connecter sur de multiples services en reutilisant des identifiants compromisees. Comme de nombreux utilisateurs reutilisent le meme mot de passe sur plusieurs comptes, ces attaques ont un taux de reussite significatif. Parmi les donnees publiees, environ 625 millions de mots de passe etaient jusqu’alors inconnus des bases publiques.
Que faire?
- Changer immediatement les mots de passe des comptes importants (banque, messagerie, services professionnels).
- Utiliser un gestionnaire de mots de passe pour generer et stocker des mots de passe uniques et complexes.
- Activer l’authentification a deux facteurs (2FA) sur les services qui le proposent.
- Surveiller les comptes pour detecter toute activite suspecte et signalez toute connexion non autorisee a votre fournisseur de service.
Il est possible de verifier si une adresse e-mail a ete concernee via le site Have I Been Pwned : https://haveibeenpwned.com.
