Une nouvelle affaire de vol de millions de mots de passe

Le serveur qui hébergeait les données volées à Adobe renfermait aussi 42 millions de mots de passe dérobées à un site de rencontre australien. Là encore, la sécurité mise en place autour de ces données paraît bien mince.

Le blogueur spécialiste de sécurité Brian Krebs semble être tombé sur un nid : après avoir retrouvé sur un serveur utilisé par des hackers les millions de données volées à Adobe, mais aussi des informations piochées chez PR Newswire et au sein d’une organisation à but non lucratif chargé de lutter contre… le cybercrime, ce sont cette fois-ci 42 millions de mots de passe qu’a récolté l’ex-journaliste.

Ces sésames, disponibles en clair dans le fichier mis au jour, proviennent de Cupid Media, un site australien spécialisé dans les rencontres en ligne. Selon cette société, ces informations résulteraient d’une attaque détectée en janvier dernier. Elle affirme avoir depuis enjoint les utilisateurs concernés de modifier leur mot de passe. Pourtant, remarque Brian Krebs, les utilisateurs qu’il a contactés lui ont confirmé que leur mot de passe était toujours bien celui renfermé dans le fichier.

L’argument des utilisateurs inactifs

Reprenant un argument déjà utilisé par Adobe, Cupid Media suggère que de nombreux password appartiennent en réalité à des utilisateurs inactifs. Et la société précise qu’elle a depuis renforcé sa sécurité (hashage et salagede la base de données, obligation faite aux utilisateurs de choisir des mots de passe non triviaux).

Cette nouvelle ligne de défense des sociétés victimes d’attaques masque toutefois plusieurs faiblesses :

- D’abord, on peut légitimement se demander pourquoi ces entreprises ne suppriment pas les informations relatives aux comptes inactifs.

- Ensuite, le fait que le compte soit inactif ne suffit pas à écarter tout danger. Car de nombreux utilisateurs emploient le même sésame sur de multiples services en ligne. Raison qui a poussé Facebook à analyser les données volées à Adobe et à obliger ses utilisateurs utilisant le même password que celui dérobé chez l’éditeur de Photoshop à le modifier.

Selon les analyses de Brian Krebs, 1,9 million d’utilisateurs avaient entré le mot de passe « 123456 » dans la base Cupid Media. 1,2 million ont opté  pour « 111111 ».