Piratage, Hack et fuites des données personnelles et comptes internet (identifiants, email et mot de passe)

Avec les rançongiciels, le piratage et la fuite de données personnelles est devenue une des menaces informatiques les plus importantes.
A ce jour, beaucoup d’entreprises s’y sont confrontées : Adobe, Yahoo! Google, Microsoft, Facebook, Twitter et bien d’autres avec à la clé des millions de comptes utilisateurs et données personnelles volés.
Le taux de progression des compromissions, incident de sécurité et fuites de données personnelles ne cessent d’augmenter chaque année tout comme les ransomwares.

Ainsi des annonces de piratage et hack de données utilisateurs deviennent de plus en plus fréquents.
Pourquoi ces piratages ? Et surtout comment s’en protéger et adopter les bonnes réactions pour les utilisateurs lorsqu’un service est compromis.

Cet article vous explique pourquoi ces bases de données utilisateurs sont piratées. Comment vérifier si votre adresse email ou mot de passe sont volés et les conseils pour bien réagir.

Qu’est-ce qu’une base de données d’identifiants et mots de passe ?

On parle souvent de base de données volées ou accès aux informations de la base de données.
Mais qu’est-ce qu’une base de données ?

Lorsque vous accédez à un site WEB, ce dernier stocke des informations et données pour fonctionner.
Cela peut aller des messages de commentaires envoyés sur le site, aux articles consultés et une partie consacrée aux comptes utilisateurs.
En règle générale, ces informations de comptes utilisateurs sont liées par un couple nom de d’utilisateur / mot de passe et quelques informations d’identités comme le nom, prénom et adresse email.
Les pirates sont très friands de ces informations et cherchent par tous les moyens à voler ces bases de données qui pour des sites très populaires peuvent atteindre des millions de comptes.

Ci-dessous, la base de données du forum Malekal, où à partir d’une commande on peut interroger les données qui s’y trouvent et notamment la partie des données qui concernent les utilisateurs.
Ici, on récupère l’ID de l’utilisateur, son pseudo, adresse email et mot de passe sous la forme d’un hash (voir plus bas).
Lorsque vous surfez sur le forum et que vous cliquez sur les informations de l’utilisateur, une partie de ces données sont affichées.

Par exemple ci-dessous le mot de passe ne s’affiche pas en clair mais sous une forme “codé”.

Les pirates parviennent alors à s’introduire pour voler le contenu de la base de données.

Comment les sites stockent les mots de passe des utilisateurs

Les bases de donnés stockent aussi les comptes utilisateurs afin de pouvoir vérifier votre identité lorsque vous tentez de vous identifier.
Le site vérifie alors que le nom d’utilisateur et mot de passe correspondent bien aux données stockées dans la base de données.
Ces mots de passe ne se stocke pas en clair ou tel que vous les avez saisis sur le site WEB lors de votre inscription.
Si vous regardez l’exemple donné plus haut, il s’agit de suite de lettre et chiffres.
Le mot de passe est ce qu’on appelle haché, c’est à dire transformé afin de le masquer.
Le but est simple, rendre la récupération d’un mot de passe impossible ou très très difficile.
Cela signifie aussi que les administrateurs du site WEB ne peuvent connaître vos mots de passe.

Enfin en plus du hash, le site peut appliquer une fonction de Salage.

Pourquoi et comment les comptes internet et données personnelles sont piratés ou fuitent

Fuites et piratage des données personnelles

Il faut distinguer deux cas :

• Un incident de sécurité par le piratage par des cybercriminels
• Une violation de données peut également se produire par accident et erreur humaine

Par exemple dans le second cas, une mauvaise configuration du serveur WEB qui fait fuiter des données.
Les moteurs de recherche peuvent même parfois indexer ces parties du site qui ne le devrait pas exposant alors ces données à tout internet.

Dans le premier cas, ce sont des attaques opérées par des groupes souvent bien organisées.
Les attaques par ransomwares visant de plus en plus les organisations publiques et privées sont un moyen important de revenus pour ces groupes.
Ils s’introduisent sur les réseaux des organisations pour verrouiller les données et demander de payer une somme d’argent en retour pour récupérer cet accès.
Au passage, les groupes en profitent souvent pour voler des quantités importantes de données.

Faire de l’argent

Pourquoi les pirates volent ces données ?
On mettra de côté les vols de données industrielles ou étatiques pour se concentrer sur les vols de données utilisateurs.

Je vous le donne en mille, il s’agit ici de faire de l’argent.
Les données utilisateurs et notamment les adresses emails peuvent être revendues sur le marché noir.
En règle général, cela peut servir

• pour des campagnes de SPAM, Pourriel et courriers indésirables
• du phishing plus ou moins ciblée. En utilisant le nom et prénom, l’attaque par hameçonnage est plus efficace
• Faire chanter a victime selon le type de service ou site internet compromis
• Aboutir à de l’usurpation d’identité en ligne

Dans le cas du vol de données utilisateurs Yahoo! cela peut aussi permettre de récupérer des accès à d’autres sites, si les pirates sont capables d’utiliser les comptes de messageries.
Dans le cas du Yahoo :

Concernant les données dérobées, la liste est également assez impressionnante puisqu’il est question des noms, adresses email, numéro de téléphone, date de naissance, empreinte (hash) de mot de passe (en majorité via bcrypt, selon la société), mais aussi des questions de sécurité et les réponses associées. Problème supplémentaire, ces dernières n’étaient pas toujours chiffrées. Yahoo précise que « l’enquête en cours suggère » qu’aucun mot de passe non protégé n’a été dérobé, pas plus que les informations bancaires qui étaient stockées dans un autre système.

source : NextInpact

Faire changer les internautes

Si l’utilisateur a rempli correctement les données : nom, prénom, adresse, c’est plus problématique puisque le pirate connaît l’identité (bien qu’après, ces données sont aussi accessible par des annuaires en ligne).
Bien sûr les prix sont plus ou moins élevés selon si les données sont encore viables et le type de données, une adresse email vaudra moins qu’une donnée bancaire.
C’est aussi souvent après un piratage que l’on apprend que certaines données n’étaient pas ou pas bien chiffrées.

Exemple d’annonce de vente de données bancaires :

Parfois, par exemple avec le piratage du site Ashley Madison qui permet de mettre en relation des adultes pour des relations extra-conjugales.
Cela a conduit à du chantage par mail : si vous ne payez pas telle somme, nous révélons votre identité et de préférence à votre femme.

Les plus grands piratages de données personnelles

On parle souvent de piratage ou hack concernant le vol massif de base de données, mais sachez que parfois, la publication de comptes utilisateurs ont pour source des erreurs humaines.
Il est arrivé par le passé que des CD de données personnelles soient perdus et donc rendus publique.
Parfois il s’agit d’une mauvaise configuration du serveur WEB avec une mise en ligne de données sensibles qui devrait rester dans un espace non accessible.

Le piratage de 2010 à 2012

Il ne reste pas moins qu’avec l’utilisation de plus en plus courantes de service WEB, les piratages suivent et sont de plus en plus fréquents.
Quelques actualités du forum autour des piratages et vols de données utilisateurs.

• Un vol de millions d’informations clientes chez VTech
• Piratage du forum Ubuntu : 2 millions de comptes exposés
• La plateforme BugZilla de la fondation Mozilla a été piraté
• Vol de mots de passe chez BitDefender
• Home Depot : 56 millions de CB & 53 millions d’e-mails volés
• BANQUES: Vol de données +20 millions de Sud-Coréens furieux
• Stratfor perd 800 000 euros suite au piratage de son site
• Fuites chez Experian, 15 millions de clients T-Mobile USA

Le magasine Capital avait aussi publié un article sur ces piratages massifs, dont voici quelques échos : Magazine Capital: “Les nouveaux dangers du net” (dossier).

Le site suivant récapitule les piratages et autres mises en ligne par accident de données utilisateurs : http://www.informationisbeautiful.net/visualizations/worlds-biggest-data-breaches-hacks/

Les piratages massifs de 2004 à 2010, on voit qu’AOL a subit deux hacks.

Les piratages après 2011, on constate une nette explosion.
Le nombre d’informations volées augmentent avec le temps.
En effet les bases de données utilisateurs grandissent du fait que les services WEB sont de plus en plus utilisés.

Pour ceux qui parlent anglais, quelques cas des piratages et récupérations de données utilisateurs par des pirates.
Notez que dans le graphique ci-dessous, on trouve aussi les piratages de gouvernements.

2018-219 : beaucoup de sites français

Entre janvier et septembre 2019, plus de 7,9 milliards d’enregistrements de données ont été exposés – une augmentation de 33% par rapport à la même période en 2018! Bien que les pirates informatiques soient des coupables évidents dans la découverte de ces données, ils ont souvent été aidés par une erreur humaine entraînant une violation de données.

Zynga, BlackRock, Foxit, Hy-Vee, CafePress, StockX, Poshmark, Sprint et des dizaines d’autres orgaistions ont été touchées

Les sites français en 2018 et 2019 ont connu beaucoup d’attaques.

• Adidas annonce le hack de plusieurs millions de comptes
• Les “données personnelles” de certains voyageurs piratées sur un site du ministère des Affaires étrangères
• Piratage du site de l’aéroport Marseille-Provence : des données bancaires de clients dérobées
• Quora victime d’un piratage : 100 millions d’utilisateurs concernés

Et d’autres hacks sur la page suivante : 150 millions de données d’internautes français sont en vente.
Il devient donc impossible de tous les lister tellement, il y en a.

2020-2021

Au premier trimestre de 2020, les enregistrements exposés ont progressé de 273% par rapport à l’année dernière. Les violations de données ne mènent nulle part et nous sommes là pour vous tenir au courant des pires violations de données de l’année qui vous exposent à un risque de vol d’identité.
En 2021, les cybercriminels concentrent également leur temps sur d’autres cyberattaques lucratives, telles que les ransomwares, le bourrage d’informations d’identification, les logiciels malveillants et l’exploitation du réseau privé virtuel (VPN).
L’évolution continue d’être à la hausse.

Le nombre d’incidents de sécurités lié à des fuites de données personnelles a baissé en 2020, cependant la quantité a explosé.
La montée en puissance des ransomwares associée à la pratique particulièrement pernicieuse de la fuite de données volées lors de l’attaque a été un thème majeur de l’année.
Il y a eu 676 violations qui incluaient un ransomware comme élément de l’attaque, une augmentation de 100% par rapport à 2019.
Cinq brèches ont chacune exposé un milliard d’enregistrements ou plus et 18 autres brèches ont exposé entre 100 millions et 1 milliard d’enregistrements.

COMB, ou Compilation of Many Breaches, contient plus de 3,2 milliards de paires uniques d’e-mails et de mots de passe en texte clair. Bien que de nombreuses violations et fuites de données aient affecté Internet dans le passé, celui-ci est exceptionnel par sa taille. À savoir, la population totale de la planète est d’environ 7,8 milliards, et cela représente environ 40% de cela.
Le mardi 2 février 2021, COMB a été divulgué sur un forum de piratage populaire. Il contient des milliards d’informations d’identification utilisateur provenant de fuites passées de Netflix, LinkedIn, Exploit.in, Bitcoin et plus encore.
Cette fuite est comparable à la compilation Breach de 2017, dans laquelle 1,4 milliard d’informations d’identification ont été divulguées.

Vous pouvez consulter ce site pour une liste : https://www.identityforce.com/blog/2020-data-breaches

En France, ce début 2021 est marqué par des attaques contre les Bases de données médicales (ou liées à la santé).
Des vols de données personnelles de médecins et patients (nom, prénom, adresse, téléphone, …).
Mais aussi beaucoup de centre hospitaliers piratés tout comme abec les rançongiciels.

Les piratages de données les plus importants

Voici une liste des vols de données les plus retentissant :

• Heartland Payment Systems : En 2008, 34 million cartes de crédits exposés
• Adult Friend Finder : En 2016 412 millions de données utilisateurs sont volées
• TK/TJ Maxx: 94 millions de données compromises en 2007
• Sony PlayStation Network: 77 million de données compromises en 2010
• Sony Online Entertainment: 24,6 millions de données compromises en 2011
• LinkedIn : 2012 – 165 million de comptes utilisateurs sont piratés
• Evernote: 50 millions de données en 2013
• Living Social: 50 millions de données volés en en 2013
• Target: 70 million de données piratées en 2013
• Adobe : En 2013 150 millions de de données utilisateurs sont compris
• Home Depot: 56 million de données compromises en 2014
• JP Morgan Chase: 76 million d’informations volées en 2014
• Yahoo! : 500 millions de données compromises en 2014
• eBay : Mai 2014, 145 millions de données utilisateurs sont récupérés dans une attaque où les hackers ont eu accès pendant plus de 200 jours au réseau
• Anthem: 80 million de données compromises en 2015
• NetEase : October 2015 – 235 million user accounts
• Uber : Octobre 2016, 50 millions de données volées. Révélés en Novembre 2017.
• Equifax, l’un des plus grands bureaux de crédit aux États-Unis, a déclaré le 7 septembre 2017 qu’une vulnérabilité d’application dans l’un de leurs sites Web avait conduit à une violation de données qui a exposé environ 147,9 millions de consommateurs.
• Imgr : 1,7 millions de comptes (email et mot de passe) volés en fin Novembre 2017
• Dubsmash : Décembre 2018, 162 million comptes utilisateurs sont hackés puis mis en vente dans le dark web
• Canva : En mai 2019, le site web de l’outil de conception graphique australien Canva est piraté et 137 millions de comptes clients sont récupérés par les attaquants
• Facebook 50 Millions de comptes compromis
• Piratage : les données volées de 620 millions de comptes sur une dizaine de sites mises en vente
• Zynga : Un des plus grands fabriquants de jeux mobiles a subi une attaque en septembre 2019 aboutissant à la compromission de 218 millions de comptes utilisateurs

et les vols de données utilisateurs les plus massifs aux USA (source Forbes) :

En février 2019, 150 millions de données sur des utilisateurs français pouvaient été dérobés : 150 millions de données d’internautes français sont en vente

De plus en plus d’attaques

Sur le lien suivant, un graphique qui compare le volume de données mis en ligne et les piratages.
L’explosion de piratage a lieu en 2012 et ce n’est que le début.

Ces attaques peuvent permettre des rebonds.
Par exemple, on peut tenter les mots de passe récupérés sur d’autres comptes en lignes.
Les pirates pouvant connaître à l’avance des adresses emails et mots de passe pouvant être utilisées par les utilisateurs, provenant d’autres bases volées ou simplement à des fins statistiques si un mot de passe revient très souvent.
D’où l’intérêt dans la mesure du possible de ne pas avoir un mot de passe unique pour tous les services WEB que l’on utilise.

L’année 2020 a explosé tous les records sur la quantité de fuites de données personnelles et vols de données.

Externalisation et centralisation des données

Certains services externalisent la gestion des données.
Par exemple, les sites WEB qui demandent vos informations bancaires ne ne stockent pas vos informations de comptes.
Si ces prestataires couvrent plusieurs sites WEB, on peut donc avoir une concentration des informations.
Dans le cas d’un piratage, cela peut faire mal.
A ce propos, une boulette est arrivée au site de presse française, courant juin 2016, où le prestataire, suite à un problème technique a perdu des données utilisateurs : De nombreux groupes de presse privés des données de paiement de leurs abonnés

Vérifier si l’e-mail, mot de passe ont été piratés, divulgués ou compromis

Face au nombre grandissant de piratage et hack, des services se sont mis en place afin de pouvoir vérifier si vos comptes internet sont compromis et ont fuité.
Parmi ces services, on trouve Haveibeenpwned qui permet une vérification gratuite.

L’article suivant vous guide pour utiliser ce service :

Comment se protéger des piratages

Vous ne maîtrisez pas les informations puisqu’elles sont gérées par un tiers.
Il est donc impossible de protéger du vol ou de la fuite de données.
C’est au service internet de faire le nécessaire.

Par contre vous pouvez protéger vos comptes en lignes des hacks et piratages via votre PC ou Smartphone.

Pour se protéger des piratages, le plus simple est de se tenir un peu au courant des actualités et des derniers hack qui ont eu lieu.

• Changer vos mots de passe. En général, lorsqu’un service est compris, il vous en informe et force le changement des mots de passe de votre compte
• Utiliser des mots de passe forts. L’article suivant vous aide à choisir des mots de passe forts : Comment choisir « un bon » mot de passe fort et sécurisé
• Évitez d’utiliser le même mot de passe pour tous vos comptes internet
• Utiliser la double authentification ou authentification à deux facteurs (2FA)
• Gérer les mots de passe sur les navigateurs WEB et éviter les piratages

Face à ces menaces, les services WEB mettent en ligne de nouvelles protections et notamment une authentification en deux temps.
Cela peut prévenir des accès frauduleux même après une fuite de votre mot de passe.
Enfin bien gérer ses mots de passe WEB est aussi important, tous ces aspects sont évoqués sur la page suivante :

La page suivante vous guide pour sécurise vos comptes en ligne :

Puis suivez l’article qui vous donne tous les conseils et configurations à appliquer sur votre PC pour éviter les piratages :

Enfin contre les virus et malwares :

Liens

sources :

• https://cybernews.com/news/largest-compilation-of-emails-and-passwords-leaked-free/
• https://www.securityinfowatch.com/cybersecurity/press-release/21207207/riskbased-security-risk-based-security-releases-its-yearend-2020-data-breach-report