Le blogueur spécialiste de sécurité Brian Krebs semble être tombé sur un nid : après avoir retrouvé sur un serveur utilisé par des hackers les millions de données volées à Adobe, mais aussi des informations piochées chez PR Newswire et au sein d’une organisation à but non lucratif chargé de lutter contre… le cybercrime, ce sont cette fois-ci 42 millions de mots de passe qu’a récolté l’ex-journaliste.
Ces sésames, disponibles en clair dans le fichier mis au jour, proviennent de Cupid Media, un site australien spécialisé dans les rencontres en ligne. Selon cette société, ces informations résulteraient d’une attaque détectée en janvier dernier. Elle affirme avoir depuis enjoint les utilisateurs concernés de modifier leur mot de passe. Pourtant, remarque Brian Krebs, les utilisateurs qu’il a contactés lui ont confirmé que leur mot de passe était toujours bien celui renfermé dans le fichier.
Reprenant un argument déjà utilisé par Adobe, Cupid Media suggère que de nombreux password appartiennent en réalité à des utilisateurs inactifs. Et la société précise qu’elle a depuis renforcé sa sécurité (hashage et salage de la base de données, obligation faite aux utilisateurs de choisir des mots de passe non triviaux).
Cette nouvelle ligne de défense des sociétés victimes d’attaques masque toutefois plusieurs faiblesses :
– D’abord, on peut légitimement se demander pourquoi ces entreprises ne suppriment pas les informations relatives aux comptes inactifs.
– Ensuite, le fait que le compte soit inactif ne suffit pas à écarter tout danger. Car de nombreux utilisateurs emploient le même sésame sur de multiples services en ligne. Raison qui a poussé Facebook à analyser les données volées à Adobe et à obliger ses utilisateurs utilisant le même password que celui dérobé chez l’éditeur de Photoshop à le modifier.
Selon les analyses de Brian Krebs, 1,9 million d’utilisateurs avaient entré le mot de passe « 123456 » dans la base Cupid Media. 1,2 million ont opté pour « 111111 ».
Voir aussi
Silicon.fr étend son site dédié à l’emploi IT
Silicon.fr en direct sur les smartphones et tablettes
Broadcom a repris seul la main sur la vente de l'offre VMware d'AWS... qui, dans…
Microsoft expérimente, sous la marque ZTDNS, une implémentation des principes zero trust pour le trafic…
Accord de principe entre créanciers, propositions de reprise, discussions avec l'État... Le point sur le…
Un temps pressenti pour constituer le socle d'une suite bureautique AWS, Amazon WorkDocs arrivera en…
Eviden regroupe cinq familles de serveurs sous la marque BullSequana AI. Et affiche le supercalculateur…
Le dernier Magic Quadrant du SSE (Secure Service Edge) dénote des tarifications et des modèles…