Deux incidents de sécurité distincts, l'un au Japon et l'autre à Taïwan, ont été confirmés cette semaine. La fuite de données de Comic CMoa touche l'une des plus grandes boutiques de livres électroniques du Japon, avec des adresses e-mail et des hachages de mots de passe signalés comme perdus. Séparément, ACCESS a confirmé que 1 305 comptes de cartes ont été volés chez CROS. Les deux affaires sont sans lien, mais ensemble elles illustrent deux types courants d'exposition : les identifiants de connexion et les données de cartes de paiement.

Les détails disponibles à ce jour sont limités, cet article s'en tient donc à ce qui a été rapporté et explique ce que cela signifie concrètement.

Ce qui a fuité dans les incidents Comic CMoa et ACCESS

Selon les informations rapportées, la fuite de données de Comic CMoa concerne une populaire boutique japonaise de livres électroniques, et les données perdues comprennent des adresses e-mail d'utilisateurs et des hachages de mots de passe. Un hachage de mot de passe est une version brouillée d'un mot de passe, et non le mot de passe lui-même. Les entreprises stockent des hachages pour ne pas avoir à conserver des mots de passe en clair sur leurs serveurs.

Le second incident est distinct. ACCESS a confirmé que 1 305 comptes de cartes ont été volés chez CROS. La source décrit l'ampleur comme 1 305 comptes de cartes, et elle ne fournit pas d'autres détails dans le matériel que nous avons examiné. Nous n'allons pas spéculer sur les champs qui ont été prélevés, sur la manière dont les attaquants sont entrés, ni sur l'identité des responsables de l'un ou l'autre incident.

Il convient de souligner qu'il s'agit de deux entreprises différentes, de deux systèmes différents et de deux types de données différents. Les lecteurs ne doivent pas supposer qu'un incident est lié à l'autre.

Pourquoi les mots de passe hachés exposent encore les utilisateurs au risque

Entendre que seuls des hachages ont été prélevés peut sembler rassurant, mais cela ne devrait inciter personne à se relâcher. Les hachages sont une couche de protection, pas une garantie. La sécurité d'un mot de passe haché dépend de la robustesse du mot de passe d'origine et de la façon dont le service l'a haché.

Si un attaquant obtient un ensemble de hachages, il peut tenter de remonter le processus en devinant des mots de passe courants, en hachant chaque supposition et en comparant les résultats. Les mots de passe courts, prévisibles ou couramment utilisés tombent généralement en premier. Les phrases secrètes fortes et uniques sont bien plus difficiles à récupérer.

Les adresses e-mail comptent aussi. Même sans aucun mot de passe, une liste d'e-mails liés à un service spécifique peut servir à du hameçonnage ciblé, comme de faux messages prétendant venir de la boutique de livres électroniques et vous demandant de vous reconnecter.

Le plus grand danger pratique est la réutilisation de mots de passe. Si vous avez utilisé votre mot de passe Comic CMoa sur un autre site, quiconque casse ce hachage pourrait essayer la même combinaison e-mail et mot de passe ailleurs. C'est ce qu'on appelle le bourrage d'identifiants, et cela ne fonctionne que lorsque les gens réutilisent leurs mots de passe.

Ce que le vol de cartes CROS signifie pour les clients concernés

Les données de cartes sont un problème différent. Avec 1 305 comptes de cartes signalés comme volés chez CROS, la principale préoccupation des clients concernés est celle des débits non autorisés et des tentatives de fraude. Les émetteurs de cartes disposent généralement de procédures pour remplacer les cartes compromises et contester les transactions frauduleuses, mais ils ne peuvent agir que si vous remarquez un problème ou si vous en êtes informé.

Si vous êtes contacté par ACCESS ou par l'émetteur de votre carte au sujet de cet incident, prenez l'avis au sérieux, mais vérifiez-le d'abord. Les fuites sont souvent suivies de messages frauduleux qui imitent l'entreprise concernée. Utilisez les coordonnées imprimées sur votre carte ou tirées directement du site officiel de l'entreprise, et non les liens d'un e-mail ou d'un SMS inattendu.

Les petits débits de test sont un signe courant d'utilisation abusive d'une carte, donc même les transactions mineures que vous ne reconnaissez pas méritent un appel à votre émetteur.

Étapes pour protéger vos comptes après une fuite

Il n'est pas nécessaire de paniquer, mais quelques actions rapides font une grande différence :

  • Changez les mots de passe réutilisés. Si votre mot de passe Comic CMoa a été utilisé ailleurs, remplacez-le sur chaque autre compte. Rendez chacun unique.
  • Activez l'authentification à deux facteurs (2FA). Même si quelqu'un possède votre mot de passe, un second facteur rend l'accès bien plus difficile. Les codes par application ou les clés matérielles sont généralement plus solides que le SMS.
  • Utilisez un gestionnaire de mots de passe. Il peut générer de longs mots de passe aléatoires et les mémoriser pour vous, ce qui élimine la tentation de les réutiliser.
  • Surveillez vos relevés de carte. Vérifiez régulièrement vos comptes, configurez des alertes de transaction si votre banque en propose, et signalez immédiatement tout élément inhabituel.
  • Méfiez-vous des messages de suivi. Ne cliquez pas sur les liens d'e-mails inattendus concernant l'un ou l'autre incident.

Les mêmes habitudes s'appliquent après toute fuite, y compris les attaques où les criminels cherchent à perturber directement une victime, comme dans le cas d'un affilié du rançongiciel Akira dont l'attaque s'est retournée contre les attaquants. Les attaquants commettent des erreurs, mais vous ne devriez pas compter là-dessus pour protéger vos données.

Ce que cela signifie pour vous

Si vous avez un compte Comic CMoa, partez du principe que votre adresse e-mail peut être entre les mains de tiers et que votre hachage de mot de passe pourrait finir par être cassé, surtout si le mot de passe était faible. Changez-le, et changez-le partout ailleurs où vous l'avez utilisé. Si vous êtes concerné par CROS ou par un compte de carte ACCESS, surveillez vos relevés de près et confirmez toute communication par les canaux officiels.

Si vous n'appartenez à aucun des deux groupes, ces incidents restent un rappel utile. L'essentiel des dommages liés aux fuites survient plus tard, lorsque les détails volés sont réutilisés contre des personnes qui n'ont pas changé leurs habitudes.

Points clés à retenir

La fuite de données de Comic CMoa et le vol de cartes ACCESS CROS sont des événements distincts, mais le conseil est le même : agissez tôt. Remplacez les mots de passe réutilisés par des mots de passe uniques, activez la 2FA, stockez vos identifiants dans un gestionnaire de mots de passe et examinez régulièrement l'activité de vos cartes. Dix minutes de nettoyage maintenant sont bien plus faciles à gérer que des prises de contrôle de compte ou des débits frauduleux plus tard.