Lorsqu'un service que vous utilisez annonce une fuite de données, la première question est généralement la même : ai-je été affecté ? Un utilisateur japonais, qui affirme être lui-même victime de la fuite de données de Times Car, s'est posé cette question pour chaque service qu'il utilise. Il a ensuite publié une compilation des fuites de données personnelles et des incidents survenus dans des services nationaux au cours de l'année écoulée, avec des conseils sur les endroits où les mots de passe devraient être changés. Sa liste est un rappel utile pour chacun de vérifier si vos données ont fuité dans des services que vous avez depuis longtemps oubliés.
Une note sur les sources : l'extrait de l'article original dont nous disposons est bref, ce billet ne reprend donc pas les détails des fuites individuelles. Il utilise plutôt l'approche de l'auteur comme un modèle que vous pouvez appliquer à vos propres comptes.
Ce que la fuite de Times Car révèle sur l'exposition des comptes
Le point de départ de l'auteur mérite d'être souligné. Il n'avait pas l'intention de rédiger un récapitulatif des fuites. Il est devenu victime d'un incident, puis s'est demandé ce qui d'autre avait pu passer inaperçu au cours de l'année écoulée. C'est une réaction sensée, car une seule notification raconte rarement toute l'histoire.
La plupart des gens dispersent leurs informations sur des dizaines de services : autopartage, achats, stockage cloud, voyages, livraison. Chacun détient une combinaison de votre nom, adresse e-mail, numéro de téléphone, adresse, et parfois des données de paiement ou de connexion. Vous ne contrôlez pas la qualité de leur protection. Lorsqu'un fournisseur est victime d'une fuite, l'exposition vous suit même si votre propre appareil n'a jamais été compromis.
Ce risque du côté du fournisseur est la leçon essentielle. La fuite de Rakuten Drive affectant 15 000 comptes est un autre exemple de la façon dont un incident chez un service peut mettre en danger les données que vous y avez stockées, quelle que soit votre prudence personnelle.
Comment vérifier quels services ont divulgué vos données
Vous pouvez emprunter la méthode de l'auteur en quelques étapes :
- Listez vos services. Recherchez dans votre boîte e-mail les messages de bienvenue, les reçus et les e-mails de réinitialisation de mot de passe des dernières années. Incluez chaque adresse que vous avez utilisée.
- Cherchez les notifications. Recherchez dans votre boîte de réception des termes comme « accès non autorisé », « incident de sécurité » ou « avis important ». Les entreprises envoient généralement un e-mail aux clients concernés, et ces messages sont souvent filtrés comme spam.
- Utilisez des outils de recherche de fuites. Des services réputés de recherche de fuites vous permettent de saisir une adresse e-mail ou un numéro de téléphone et de voir s'il apparaît dans des ensembles de données fuitées connus. Utilisez des services bien établis, et ne saisissez jamais votre mot de passe dans l'un d'eux.
- Consultez les annonces des entreprises. Pour les services que vous utilisez réellement, consultez les pages officielles d'actualités ou de sécurité. Une liste compilée comme celle de l'auteur peut vous aider à recouper les noms.
- Notez ce que vous trouvez. Notez le service, la date et les types de données qui auraient été exposés.
Une recherche ne renvoyant aucun résultat ne prouve pas que vous êtes en sécurité. Toutes les fuites ne sont pas publiquement connues ou indexées. Considérez ces outils comme un signal parmi d'autres.
Quels mots de passe changer en premier
Vous n'avez pas besoin de tout changer d'un coup. Priorisez selon les dommages qu'une prise de contrôle pourrait causer :
- Votre compte e-mail principal. Il permet de réinitialiser presque tout le reste, il vient donc en premier.
- Tout compte mentionné dans une notification de fuite. Changez le mot de passe même si l'entreprise affirme que les mots de passe n'ont pas été exposés.
- Les comptes financiers, de paiement et d'achat avec des cartes enregistrées ou des soldes de points.
- Les comptes de stockage cloud et de sauvegarde, qui peuvent contenir des documents d'identité, des photos et des fichiers professionnels.
- Tout compte partageant un mot de passe avec un compte compromis. La réutilisation est le principal moyen par lequel une fuite en devient plusieurs.
Examinez aussi ce qui d'autre a été exposé. Si une notification mentionne des numéros de téléphone ou des adresses plutôt que des mots de passe, un changement de mot de passe n'aidera pas beaucoup ; attendez-vous plutôt à des messages d'hameçonnage et d'arnaque plus convaincants et traitez les liens et appels inattendus avec méfiance.
Verrouiller les comptes avec la 2FA et un gestionnaire de mots de passe
Une fois que vous avez changé les mots de passe urgents, rendez la prochaine fuite moins coûteuse.
Utilisez un gestionnaire de mots de passe. Il génère un mot de passe long et unique pour chaque service, de sorte qu'une fuite chez un fournisseur ne peut pas en déverrouiller un autre. Vous n'avez qu'une seule phrase de passe principale forte à mémoriser.
Activez l'authentification à deux facteurs (2FA). Privilégiez une application d'authentification ou une clé de sécurité matérielle plutôt que les codes SMS lorsque le service les propose. Même si un mot de passe fuite, un attaquant a toujours besoin du second facteur.
Examinez l'activité de connexion et les applications connectées. Déconnectez les appareils inconnus et supprimez les accès tiers que vous n'utilisez plus.
Supprimez ce dont vous n'avez pas besoin. Fermez les comptes des services que vous avez cessé d'utiliser. Les données qui ne sont pas stockées ne peuvent pas fuiter.
Ce que cela signifie pour vous
Les fuites chez les services que vous utilisez échappent largement à votre contrôle, mais votre réaction, non. Savoir lesquels de vos comptes ont été affectés vous permet d'agir d'abord sur les bons, et des mots de passe uniques plus la 2FA limitent la portée d'une seule fuite. Un VPN ne protège pas les données qu'une entreprise stocke sur ses propres serveurs, l'hygiène des comptes est donc plus importante que les outils réseau dans cette situation.
À retenir
- Réservez du temps cette semaine pour vérifier si vos données ont fuité parmi les services que vous utilisez.
- Recherchez dans votre boîte de réception les notifications de fuite et établissez une liste simple des comptes concernés.
- Changez d'abord votre mot de passe e-mail, puis ceux des comptes financiers et cloud.
- Adoptez un gestionnaire de mots de passe et activez la 2FA partout où elle est proposée.
- Fermez les comptes inutilisés et revoyez la façon dont vous stockez vos fichiers chez les fournisseurs en ligne, car l'incident Rakuten Drive montre que les problèmes du côté du fournisseur peuvent atteindre les données stockées.
Une heure d'audit maintenant est bien plus facile que de récupérer un compte compromis plus tard.
