Illustration d’un piratage de mot de passe (ALLILI MOURAD/SIPA / SIPA)
Une gigantesque base de données de 3,28 milliards de e-mails-mots de passe vient d’être publiée sur internet. Et il y a fort à parier que vous êtes dedans !
En matière de piratage informatique, il est des histoires qui marquent parce qu’elles illustrent par l’exemple le déroulé et les dégâts d’une cyberattaque – comme l’an dernier la paralysie de Bouygues Construction -, et d’autres parce qu’elles touchent tout le monde. Aujourd’hui, nous sommes dans le second cas de figure.
Cette violente cyberattaque qui paralyse Bouygues Construction depuis deux semaines
Le 2 février, sur un forum internet utilisé par des hackers pas tous bien intentionnés, est apparue une gigantesque base de données de plus de 3 milliards d’associations identifiant-mot de passe. L’auteur dit avoir regroupé différentes données volées lors des piratages de LinkedIn, Netflix, Exploit.in, Bitcoin, etc., dans sa « compilation of many breaches » (« compilation de nombreuses fuites ») ou « Comb » (« peigne »). L’ensemble s’avère parfaitement ordonné, toutes les informations classées soigneusement par ordre alphabétique et par service utilisé.
Après analyse, le site spécialisé Cybernews convient qu’il s’agit là de 3,28 milliards de couples uniques identifiants (essentiellement des adresses e-mails)-mot de passe. C’est presque autant que la moitié de la population mondiale. Et c’est un record.
« C’est la plus grosse consolidation à ce jour, confirme Gerome Billois, expert en cybersécurité au cabinet Wavestone et administrateur du Clusif, association pour la sécurité du numérique en France. Cette consolidation, liée aux partages dans les réseaux illicites, a pour but de faciliter les cyberattaques contre les entreprises passées en télétravail et contre les particuliers dont les données personnelles ont été volées. »
« Le mot de passe, c’est comme une brosse à dent »
Concrètement, ces couples identifiant-mot de passe vont permettre à des pirates de tester en masse l’introduction dans une multitude de services. Comme des voleurs qui auraient un énorme trousseau de clefs, et capable de tenter d’ouvrir des millions de portes en même temps.
En cette période de pandémie, les premières visées seront les entreprises et administrations passées massivement au télétravail. Si leur accès à distance n’est protégé que par un simple mot de passe, alors les pirates le dénicher dans cette compilation Comb, afin de s’introduire dans le réseau interne de l’entreprise pour 1-dérober des documents confidentiels, 2-bloquer les ordinateurs et réclamer une rançon, 3-se faire passer pour la société pour ensuite infecter les clients.
Le fonctionnement de l’hôpital de Dax toujours très perturbé après une cyberattaque d’ampleur
Chez les particuliers, l’intérêt sera plutôt de récolter un maximum de données personnelles sur la victime, de les agglomérer, pour ensuite mettre en place des arnaques et usurper des identités – ce qui permet par exemple de modifier le RIB pour les remboursements d’assurance ou de mutuelle, ou encore potentiellement de souscrire des prêts à la consommation.
« L’écosystème du monde du piratage s’est vraiment structuré, explique Gerome Billois. Il y a les petits cyber-dealeurs qui vont scanner largement internet pour dénicher la moindre faille informatique disponible, ceux qui vont compiler toutes ces trouvailles, et ceux qui vont s’introduire dans les systèmes pour dérober des informations et mettre en place des demandes de rançons. »
Alors, que faire aujourd’hui ? Le conseil est – hélas – toujours le même : modifier son mot de passe. « Le mot de passe, c’est comme une brosse à dents, dès qu’il s’use il faut en charger », recommande l’expert en cybersécurité. Pour savoir si son adresse e-mail a été partagée, le site de référence haveibeenpwned.com permet de constater l’urgence.
Conseils et solutions
Quant aux conseils pour son mot de passe, nous pouvons rappeler qu’il faut une clef différente pour chacun des services numériques utilisés, sur un modèle d’au moins 8 caractères, en minuscules et majuscules, avec des chiffres et des symboles. Convenons qu’il n’est humainement pas possible de se souvenir de tous. Aussi, deux solutions sont disponibles.
D’abord, les gestionnaires de mots de passe, qui retiennent pour nous des mots de passe hypercomplexes (il suffit de retenir celui d’accès à ce coffre) – comme les spécialisés Dashlane, 1Password, LastPass, etc. ou les offres d’Apple et Microsoft. Autre option : choisir son mot de passe (si possible un mot qui n’est pas dans le dictionnaire), y ajouter chiffres et symboles, et enfin définir une règle pour le faire varier lors de chaque inscription (par exemple le terminer par le nombre de lettres dans le nom du site, et ajouter la troisième lettre de ce nom au milieu).
« Et surtout, dès que possible, activez la double authentification par SMS, ça protège mieux les données sensibles, insiste Gerome Billois. Votre vigilance doit être extrême pour tout ce qui relève de la santé, de la finance et de l’accès à votre boîte e-mail, qui est la clef de voûte de toute la sécurité numérique. »
L’OBS