Grosse compromission mondiale

[Ld974]

hello,
pas d'alarmisme mais un fichier de 26 milliards d'enregistrements de toutes nature (12 To) a été trouvé par des chercheurs en sécurité. J'ai contrôlé les adresses mails que je gère et j'en ai trois de compromises pour lesquelles j'ai immédiatement changé les mots de passe.
Pour contrôler les vôtres, vous allez sur https://haveibeenpwned.com/ et vous saisissez les adresses l'une après l'autre. Retour vert c good, retour rouge vous modifiez le mdp sans vous poser de questions.
Ce contrôle n'est valable que pour les adresses mails, pour vos autres accès à vous de voir s'ils sont sensibles et doivent être modifiés.
Pour l'administratif passez toujours par FranceConnect, pour les banques et autres sites financiers normalement vous êtes déjà en double authentification avec un sms ou autre système. A chaque fois que l'on vous propose de sécuriser un accès avec un SMS, faites-le.

Pour finir, le fait de modifier vos mdp ne change pas le risque de phishing, donc soyez encore plus attentifs aux mails que vous recevez, ça risque de pleuvoir.

https://www.lesnumeriques.com/socie...ve-n217992.html

[Cuistax]

J'utilise depuis peu Bitwarden, un gestionnaire de mots de passe open source et gratuit, sur PC, tablette et smartphone. Pratique.

Mais j'ai quand même vérifié mes adresses mail sur https://haveibeenpwned.com/

[Ld974]

Mais j'ai quand même vérifié mes adresses mail sur haveibeenpwned.com

Très bon réflexe !!

[Rainman]

Ce n'est pas parce que votre adresse Email est connue que votre boite mail est piratée et le mot de passe divulgué !
Exemple, mon adresse principale est connue à cause de:
Adobe: In October 2013
Suivent ensuite 5 autres sites qui se sont refilés les infos.
Ça signifie surtout que cette adresse mail est spammée régulièrement.
Comme c'est mon adresse principale, (Impôts, Sécu, Mutuelle, etc) j'ai simplement changé le mot de passe par un plus compliqué, (Maj, Min, chiffres et caractères spéciaux).
C'est d'ailleurs ma seule adresse qui soit spammée mais c'est aussi la plus ancienne, (elle date de Netscape, Windows 3.1 et les modems RTC dans les années 1990, le FAI était Club-Internet).
Voir ci-dessous la traduction de ce site: https://haveibeenpwned.com/FAQs#DataSource

Que signifie « pwned » ?
Le mot « pwned » a des origines dans la culture du jeu vidéo et est une dérivation en langage leets du mot « possédé », en raison de la proximité des touches « o » et « p ». Il est généralement utilisé pour impliquer que quelqu'un a été contrôlé ou compromis, par exemple "J'ai été impliqué dans la violation de données Adobe". Apprenez-en davantage sur la façon dont « pwned » est passé du jargon des hackers à la raillerie préférée d'Internet .

Qu’est-ce qu’une « violation » et d’où proviennent les données ?
Une « violation » est un incident au cours duquel des données sont exposées par inadvertance dans un système vulnérable, généralement en raison de contrôles d'accès insuffisants ou de faiblesses de sécurité du logiciel. HIBP regroupe les violations et permet aux utilisateurs d'évaluer où leurs données personnelles ont été exposées.

Les mots de passe des utilisateurs sont-ils stockés sur ce site ?
Lorsque des adresses e-mail résultant d'une violation de données sont chargées sur le site, aucun mot de passe correspondant n'est chargé avec elles. Outre la fonction de recherche d'adresses pwned, le service Pwned Passwords vous permet de vérifier si un mot de passe individuel a déjà été détecté lors d'une violation de données. Aucun mot de passe n'est stocké à côté de données personnellement identifiables (telles qu'une adresse e-mail) et chaque mot de passe est haché SHA-1 ( découvrez pourquoi SHA-1 a été choisi dans le billet de blog de lancement de Pwned Passwords .)

Puis-je envoyer aux utilisateurs leurs mots de passe exposés ?
Non. Toute possibilité d’envoyer des mots de passe à des personnes nous expose, ainsi qu’à moi-même, à un plus grand risque. Ce sujet est abordé en détail dans l'article de blog sur toutes les raisons pour lesquelles je ne mets pas de mots de passe à disposition via ce service .

Une liste de l'adresse e-mail ou du nom d'utilisateur de chacun est-elle disponible ?
L'outil de recherche publique ne peut renvoyer rien d'autre que les résultats d'une seule adresse e-mail ou d'un seul nom d'utilisateur fourni à la fois. Plusieurs comptes violés peuvent être récupérés par la fonction de recherche de domaine , mais seulement après avoir vérifié avec succès que la personne effectuant la recherche est autorisée à accéder aux actifs du domaine.

Qu’en est-il des violations où les mots de passe ne sont pas divulgués ?
Parfois, une faille sera ajoutée au système qui n'inclut pas les informations d'identification pour un service en ligne. Cela peut se produire lorsque des données sur des individus sont divulguées et qu'elles peuvent ne pas inclure de nom d'utilisateur et de mot de passe. Cependant, ces données ont toujours un impact sur la vie privée ; il s’agit de données dont les personnes concernées ne s’attendraient pas raisonnablement à ce qu’elles soient rendues publiques et, en tant que telles, elles ont tout intérêt à pouvoir en être informées.

Comment vérifier qu’une violation est légitime ?
Il y a souvent des « violations » annoncées par des attaquants qui sont à leur tour dénoncées comme des canulars. Il existe un équilibre entre rendre les données consultables rapidement et faire preuve d’une diligence raisonnable suffisante pour établir la légitimité de la violation. Les activités suivantes sont généralement effectuées afin de valider la légitimité de la violation :

Le service concerné a-t-il publiquement reconnu la violation ?
Les données victimes de la violation apparaissent-elles dans une recherche Google (c'est-à-dire qu'elles sont simplement copiées à partir d'une autre source) ?
La structure des données est-elle cohérente avec ce que vous attendez d’une violation ?
Les attaquants ont-ils fourni suffisamment de preuves pour démontrer le vecteur d’attaque ?
Les attaquants ont-ils l’habitude de divulguer des violations de manière fiable ou de les falsifier ?
Qu'est-ce qu'une « pâte » et pourquoi l'inclure sur ce site ?
Un « coller » est une information qui a été « collée » sur un site Web public conçu pour partager du contenu tel que Pastebin . Ces services sont favorisés par les pirates informatiques en raison de la facilité de partage anonyme d'informations et ils constituent souvent le premier endroit où une violation apparaît.

HIBP recherche parmi les pâtes diffusées par les comptes dans la liste Twitter des sources de pâte et signalées comme contenant des e-mails qui sont un indicateur potentiel d'une violation. Trouver une adresse e-mail dans une pâte ne signifie pas immédiatement qu'elle a été divulguée à la suite d'une violation. Examinez le collage et déterminez si votre compte a été compromis, puis prenez les mesures appropriées, comme changer les mots de passe.

Mon e-mail a été signalé comme apparaissant dans une pâte, mais la pâte est désormais introuvable
Les pâtes sont souvent transitoires ; ils apparaissent brièvement puis sont supprimés. HIBP indexe généralement une nouvelle pâte dans les 40 secondes suivant son apparition et stocke les adresses e-mail apparues dans la pâte ainsi que certaines métadonnées telles que la date, le titre et l'auteur (s'ils existent). La pâte elle-même n'est pas stockée et ne peut pas être affichée si elle n'existe plus à la source.

Mon e-mail n'a pas été trouvé. Cela signifie-t-il que je n'ai pas été contacté ?
Bien que HIBP soit tenu à jour avec autant de données que possible, il ne contient qu'un petit sous-ensemble de tous les enregistrements qui ont été violés au fil des ans. De nombreuses violations n’aboutissent jamais à la divulgation publique des données et, en fait, de nombreuses violations passent même totalement inaperçues. "L'absence de preuve n'est pas une preuve d'absence" ou en d'autres termes, ce n'est pas parce que votre adresse e-mail n'a pas été trouvée ici qu'elle n'a pas été compromise lors d'une autre violation.

Comment HIBP gère-t-il le « plus alias » dans les adresses e-mail ?
Certaines personnes choisissent de créer des comptes en utilisant un modèle connu sous le nom de « plus alias » dans leurs adresses e-mail. Cela leur permet d'exprimer leur adresse e-mail avec une donnée supplémentaire dans l'alias, reflétant généralement le site auquel ils se sont inscrits, comme test+netflix@example.com ou test+amazon@example.com. Il existe actuellement une suggestion UserVoice demandant la prise en charge de ce modèle dans HIBP. Cependant, comme expliqué dans cette suggestion, l'utilisation de l'alias plus est extrêmement rare, apparaissant dans environ seulement 0,03 % des adresses chargées dans HIBP. Votez pour la suggestion et suivez son évolution si cette fonctionnalité est importante pour vous.

Comment les données sont-elles stockées ?
Les comptes violés se trouvent dans le stockage de tables Windows Azure qui ne contient rien d'autre que l'adresse e-mail ou le nom d'utilisateur et une liste des sites sur lesquels ils sont apparus lors de violations. Si vous êtes intéressé par les détails, tout est décrit dans Travailler avec 154 millions d'enregistrements sur Azure Table Storage – l'histoire de Have I Been Pwned.

qqc est-il enregistré lorsque les gens recherchent un compte ?
Rien n'est explicitement enregistré par le site Web. La seule journalisation de quelque nature que ce soit s'effectue via Google Analytics, la surveillance des performances d'Application Insights et toutes les données de diagnostic implicitement collectées si une exception se produit dans le système.

Pourquoi est-ce que mon nom d'utilisateur est piraté sur un service auquel je ne me suis jamais abonné ?
Lorsque vous recherchez un nom d'utilisateur qui n'est pas une adresse e-mail, vous pouvez voir ce nom apparaître contre des violations de sites auxquels vous n'êtes jamais inscrit. Habituellement, cela est simplement dû au fait que quelqu'un d'autre choisit d'utiliser le même nom d'utilisateur que vous. Même lorsque votre nom d'utilisateur semble très unique, le simple fait qu'il y ait plusieurs milliards d'internautes dans le monde signifie qu'il existe une forte probabilité que la plupart des noms d'utilisateur aient été utilisés par d'autres personnes à un moment ou à un autre.

Pourquoi mon adresse e-mail est-elle piratée sur un service auquel je ne me suis jamais abonné ?
Lorsque vous recherchez une adresse e-mail, vous pouvez voir cette adresse apparaître contre des violations de sites auxquels vous ne vous souvenez pas vous être inscrit. Il existe de nombreuses raisons possibles à cela, notamment le fait que vos données aient été acquises par un autre service, le service se rebaptisant comme autre chose ou quelqu'un d'autre vous inscrivant. Pour un aperçu plus complet, consultez Pourquoi suis-je victime d'une violation de données pour un site auquel je ne me suis jamais inscrit ?

Puis-je recevoir des notifications pour une adresse e-mail à laquelle je n'ai pas accès ?
Non. Pour des raisons de confidentialité, toutes les notifications sont envoyées à l'adresse surveillée. Vous ne pouvez donc pas surveiller l'adresse de quelqu'un d'autre ni une adresse à laquelle vous n'avez plus accès. Vous pouvez toujours effectuer une recherche d'adresse à la demande, mais les violations sensibles ne seront pas renvoyées.

Le service de notification stocke-t-il les adresses e-mail ?
Oui, c’est nécessaire pour savoir qui contacter en cas de violation ultérieure de données. Seules l'adresse e-mail, la date à laquelle ils se sont inscrits et un jeton aléatoire pour vérification sont stockés.

Une violation de mon adresse e-mail peut-elle être supprimée après avoir modifié le mot de passe ?
HIBP fournit un enregistrement des violations dans lesquelles une adresse e-mail est apparue, que le mot de passe ait été modifié ou non. Le fait que l’adresse e-mail ait été piratée est un fait historique immuable ; il ne peut pas être modifié ultérieurement. Si vous ne souhaitez pas qu'une violation de l'adresse apparaisse publiquement, utilisez la fonction de désinscription .

À partir de quelle adresse e-mail les notifications sont-elles envoyées ?
Tous les e-mails envoyés par HIBP proviennent de noreply@haveibeenpwned.com. Si vous attendez un e-mail (par exemple, l'e-mail de vérification envoyé lors de l'inscription aux notifications) et qu'il n'arrive pas, essayez de mettre cette adresse sur liste blanche. 99,x % du temps, un e-mail n'arrive pas dans la boîte de réception de quelqu'un, cela est dû au fait que le serveur de messagerie de destination l'a renvoyé.

Comment puis-je savoir si le site ne collecte pas uniquement les adresses e-mail recherchées ?
Ce n'est pas le cas, mais ce n'est pas le cas. Le site est simplement destiné à être un service gratuit permettant aux utilisateurs d'évaluer les risques liés à une violation de leur compte. Comme pour tout site Web, si vous êtes préoccupé par l’intention ou la sécurité, ne l’utilisez pas.

Est-il possible de faire un « lien profond » directement vers la recherche d'un compte ?
Bien sûr, vous pouvez créer un lien pour que la recherche d'un compte particulier se fasse automatiquement lors de son chargement, il suffit de transmettre le nom après le chemin "compte". Voici un exemple :

https://haveibeenpwned.com/account/...est@example.com
Comment puis-je signaler une violation de données ?
Si vous êtes confronté à une violation de données et que vous souhaitez la signaler, contactez-moi . Vérifiez d'abord ce qui est actuellement chargé dans HIBP sur la page des sites Web pwned si vous n'êtes pas sûr si la violation est déjà dans le système.

Qu’est-ce qu’une « violation sensible » ?
HIBP vous permet de découvrir si votre compte a été exposé à la plupart des violations de données en recherchant directement dans le système. Cependant, certaines violations sont particulièrement sensibles dans la mesure où la présence d'une personne dans la violation peut avoir un impact négatif si d'autres personnes parviennent à découvrir qu'elle était membre du site. Ces violations sont classées comme « sensibles » et ne peuvent pas faire l'objet de recherches publiques.

Une violation de données sensibles ne peut être recherchée que par le propriétaire vérifié de l'adresse e-mail recherchée. Cela se fait via le système de notification qui consiste à envoyer un email de vérification à l'adresse avec un lien unique. Lorsque ce lien est suivi, le propriétaire de l'adresse verra toutes les violations de données et tous les collages dans lesquels ils apparaissent, y compris les plus sensibles.

Il existe actuellement 55 violations sensibles dans le système, notamment Adult FriendFinder (2015), Adult FriendFinder (2016), Adult-FanFiction.Org, Ashley Madison, Beautiful People, Bestialitysextaboo, Brazzers, Carding Mafia (décembre 2021), Carding Mafia (mars 2021). ), CityJerks, CrimeAgency vBulletin Hacks, CTARS, CyberServe, DC Health Link, Doxbin, ECCIE, Emotet, Fling, Florida Virtual School, Freedom Hosting II et 35 autres.

Qu'est-ce qu'une « violation retirée » ?
Après un incident de sécurité entraînant la divulgation des données du compte, la violation peut être chargée dans HIBP où elle envoie ensuite des notifications aux abonnés concernés et devient consultable. Dans de très rares circonstances, cette violation peut ultérieurement être définitivement supprimée du HIBP où elle est alors classée comme une « violation retirée ».

Une violation retirée est généralement une violation dans laquelle les données n'apparaissent pas ailleurs sur le Web, c'est-à-dire qu'elles ne sont ni échangées ni redistribuées. Le supprimer de HIBP donne aux personnes concernées l’assurance que leurs données ne peuvent plus être trouvées dans les emplacements restants. Pour plus d'informations, lisez Have I Been Pwned, la désinscription, VTech et les informations générales sur la confidentialité .

Il existe actuellement une faille retirée dans le système, à savoir VTech.

Qu'est-ce qu'une violation « non vérifiée » ?
Certaines violations peuvent être signalées comme « non vérifiées ». Dans ces cas, même si la violation alléguée contient des données légitimes, il n’a peut-être pas été possible d’établir la légitimité au-delà de tout doute raisonnable. Les violations non vérifiées sont toujours incluses dans le système car, quelle que soit leur légitimité, elles contiennent toujours des informations personnelles sur les individus qui souhaitent comprendre leur exposition sur le Web. De plus amples informations sur les violations non vérifiées peuvent être trouvées dans l'article de blog intitulé Présentation des violations non vérifiées à Have I Been Pwned .

Qu’est-ce qu’une violation « fabriquée » ?
Certaines violations peuvent être signalées comme « fabriquées ». Dans ces cas, il est très peu probable que la violation contienne des données légitimes provenant du site présumé, mais elles peuvent néanmoins être vendues ou échangées sous les auspices de la légitimité. Souvent, ces incidents sont constitués de données agrégées provenant d'autres emplacements (ou peuvent être entièrement fabriquées), mais contiennent toujours des adresses e-mail réelles à l'insu du titulaire du compte. Les violations fabriquées sont toujours incluses dans le système car, quelle que soit leur légitimité, elles contiennent toujours des informations personnelles sur les individus qui souhaitent comprendre leur exposition sur le Web. De plus amples informations sur les violations non vérifiées peuvent être trouvées dans le billet de blog intitulé Présentation des violations « fabriquées » dans Have I Been Pwned .

Qu'est-ce qu'une infraction « abonnement gratuit » ?
Certaines violations peuvent être signalées comme « abonnement gratuit ». Lorsque vous utilisez la fonction de recherche de domaine , les domaines plus grands nécessitent normalement un abonnement pour voir les résultats de la recherche. Les violations signalées comme étant sans abonnement peuvent être recherchées sans nécessiter d'abonnement, quelle que soit la taille du domaine. Ce flag n'a aucun impact sur les recherches par adresse email.

Qu'est-ce qu'une « liste de spam » ?
Il arrive parfois que d’importants volumes de données personnelles soient utilisés à des fins d’envoi de spam ciblé. Cela inclut souvent bon nombre des mêmes attributs que l'on retrouve fréquemment dans les violations de données, tels que les noms, adresses, numéros de téléphone et dates de naissance. Les listes sont souvent regroupées à partir de sources multiples, souvent en obtenant des informations personnelles auprès de personnes avec la promesse d'une récompense monétaire . Même si les données ne proviennent pas d'un système piraté, la nature personnelle des informations et le fait qu'elles soient redistribuées de cette manière à l'insu des propriétaires justifient leur inclusion ici. En savoir plus sur les listes de spam dans HIBP .

Qu'est-ce qu'une violation de « malware » ?
Les violations de données dans HIBP ne sont pas toujours le résultat d'une compromission de la sécurité d'un service en ligne et, occasionnellement, des données obtenues par des campagnes de logiciels malveillants sont également chargées. Par exemple, le FBI américain et le NHTCU néerlandais ont fourni à HIBP des données du malware Emotet en avril 2021 . Le risque posé aux individus dans ces incidents est différent (leur appareil personnel peut être compromis), d'où la présence de ce drapeau dans HIBP.

Qu'est-ce que cela signifie si mon mot de passe est dans Pwned Passwords ?
Si un mot de passe est trouvé dans le service Pwned Passwords , cela signifie qu'il est déjà apparu lors d'une violation de données. HIBP ne stocke aucune information sur l'identité de l'utilisateur du mot de passe, mais uniquement sur le fait qu'il a déjà été exposé publiquement et combien de fois il a été vu. Un mot de passe Pwned ne doit plus être utilisé car son exposition l'expose à un risque plus élevé d'être utilisé pour se connecter à des comptes utilisant le secret désormais exposé.

J'ai cherché mon adresse email sur HIBP et puis j'ai été piraté, qu'est-ce que ça donne ?!
Tout d'abord, les recherches ne sont pas enregistrées , il n'y a donc pas de collecte d'adresses. Toutes les recherches effectuées le sont via une connexion cryptée afin que personne n'ait accès au trafic Web autre que ceux hébergeant les services HIBP. Même s’ils le faisaient, il ne s’agit que d’une adresse e-mail et ne suffit pas pour accéder aux comptes en ligne de quelqu’un. Si Pwned Passwords a également été utilisé pour rechercher un mot de passe, celui-ci est anonymisé avant d'être envoyé à HIBP, de sorte que même une recherche d'adresse e-mail et de mot de passe ne fournit pas une paire d'informations d'identification utilisable. Corrélation ne signifie pas causalité; c'est une coïncidence.

C'est un peu peu détaillé ici, où puis-je obtenir plus d'informations ?
La conception et la construction de ce projet ont été largement documentées sur troyhunt.com sous la balise Have I Been Pwned . Ces articles de blog expliquent en grande partie le raisonnement derrière les différentes fonctionnalités et comment elles ont été implémentées sur la plate-forme cloud Windows Azure de Microsoft.

[Rainman]

Comme je le disais dans mon précédent message:

Le fait que l’adresse e-mail ait été piratée est un fait historique immuable ; il ne peut pas être modifié ultérieurement. Si vous ne souhaitez pas qu'une violation de l'adresse apparaisse publiquement, utilisez la fonction de désinscription.

Donc, je continue d'utiliser ma première adresse mail originelle (sous 8 caractères alphanumériques à l'époque): la seule solution serait d'en créer une nouvelle et ne plus l'utiliser l'ancienne. L'inconvénient c'est uniquement les tentatives de phishing ou spams (moins d'un par jour), mais comme l'utilisation de mon premier PC remonte à 1985, on ne peut pas me surprendre après 39 ans d'informatique, comme un nouveau né qui fait ses premiers pas sur le Web .

Remarque: La traduction de "copy paste" donne "copier pâtes" en Français, !
Sinon concernant ma sécurité:
- c'est "Eset Smart Security" pour les 2 PC sous Windows 10.
- c'est ClamTK pour le PC sous Debian 11.

Pour votre information: seules les données sont susceptibles d'y être altérées, mais pas les programmes. Linux étant un système fermé par défaut où rien n'est ouvert (seul Admin et son MDP peut installer / désinstaller des programmes: deux données qu'ignore le virus potentiel), tandis que Windows est un système ouvert par défaut.

[Ld974]

Pour finir, le fait de modifier vos mdp ne change pas le risque de phishing, donc soyez encore plus attentifs aux mails que vous recevez, ça risque de pleuvoir.

Sans autant de littérature, c'est bien ce que j'ai dit, sinon Debian suis en 12.4, pas de pb remarqués.

C'est vrai que Windows est très ouvert mais on peut restreindre un peu son bavardage en arrêtant des services inutiles. Vous avez une liste ici. On doit trouver la même choses pour W11.

Dernière chose pour sécuriser mieux vos Windows, ayez un compte de type Administrateur et un autre de type Utilisateur. C'est avec celui-là que vous vous connectez quotidiennement sur votre PC et de temps en temps, lors d'installation de logiciel par exemple, le système vous demandera le mdp du compte admin, juste cela. Jamais de connection directe avec un compte Admin par principe, c'est vrai pour le root d'Unix/Linux également.

[Cuistax]

ayez un compte de type Administrateur et un autre de type Utilisateur

Excellente précaution

[Rainman]

Piratage de 33 millions de numéros de sécurité sociale:

"Les données concernées sont, pour les assurés et leur famille, l'état civil, la date de naissance et le numéro de sécurité sociale, le nom de l'assureur santé ainsi que les garanties du contrat souscrit".

Il va y avoir du hameçonnage (phishing) dans l'air !

Ce qui me sidère le plus c'est que l'on incite les particuliers à être extrêmement prudent, alors que les "gros sites vulnérables" qui gèrent 33 millions de données (la moitié de la population Française, tout de même) sont les plus piratés:grr:.

[Ld974]

Bah c'est plus simple pour les hackeurs, plus difficile mais avec gros butin. Et bien-sûr comme d'hab ce ne sont pas les sites centraux (je pense que tu parles des mutuelles) qui ont été attaqués mais un prestataire commun ... Basique mais efficace