Réinitialiser un mot de passe peut fermer une voie d’accès à un compte. Cela ne permet pas de reprendre les informations personnelles qui rendent une arnaque crédible.
Sony Network Communications, la filiale japonaise de services internet de Sony, a révélé le 27 octobre une fuite concernant 2 585 481 dossiers de clients So-net et plala (S Course). L’incident a également exposé les mots de passe de 54 401 adresses e-mail sur certains services de messagerie So-net, créant des risques qui dépassent la base de données initiale.
Pour les clients concernés, l’enjeu porte à la fois sur la sécurité des comptes et sur ce qui pourrait suivre : des messages ou des appels utilisant de véritables informations personnelles pour usurper l’identité de leur fournisseur d’accès à internet.
Ce que la fuite de données de So-net a exposé
Sony a publié son avis officiel concernant la fuite de données, daté du 27 octobre et mis à jour le 29, qui recense 2 141 986 dossiers de clients So-net et 443 495 dossiers plala (S Course). Les champs exposés comprennent les noms, les numéros de téléphone, les adresses e-mail, les identifiants utilisateur, les dates de naissance, le sexe et les identifiants de connexion à internet.
Les deux principales catégories de dossiers clients ne comprenaient pas de mots de passe. Toutefois, Sony a identifié des expositions distinctes de mots de passe de messagerie ainsi que d’un petit nombre d’identifiants de connexion à My Page. Les adresses e-mail et les mots de passe des services de messagerie ont été exposés pour 54 401 adresses associées à Mail Service (G), A-Box, So-net VAIO Mail et PostPet Mail Account Service. Sony a indiqué ne pas avoir confirmé l’exposition de mots de passe pour son service gratuit de boîte aux lettres So-net basic.
La FAQ client de Sonyconfirme également que sept dossiers issus de notifications de réinitialisation de mot de passe contenaient des « identifiants utilisateur et mots de passe So-net My Page ». L’entreprise a indiqué avoir réinitialisé les mots de passe concernés. Cette exposition était distincte des 54 401 adresses e-mail dont les mots de passe de messagerie avaient été exposés.
Seize autres dossiers contenaient des informations de compte bancaire, notamment des numéros de compte et les noms des titulaires. Sony a indiqué ne pas détenir les codes confidentiels des comptes bancaires, et aucune information de carte bancaire ne figurait parmi les données exposées.
L’avis distinct de NTT Docomoindique que ses clients concernés utilisaient plala (S Course) de Docomo Hikari, y compris des clients ayant résilié leur abonnement au cours des six mois précédents. Docomo a précisé que les informations exposées pour ce groupe ne comprenaient ni mots de passe ni données de paiement ; les autres services plala n’ont pas été touchés.
La détection est intervenue quatre jours après l’intrusion
Sony indique que l’accès non autorisé a eu lieu le 19 octobre et a été détecté le 23 octobre. L’entreprise a alors arrêté le serveur concerné et bloqué les communications provenant de la source non autorisée. Les enquêteurs ont confirmé l’exposition de données personnelles le 24 octobre.
L’entreprise a réinitialisé les mots de passe des services de messagerie concernés le 27 octobre et signalé l’incident à la Commission japonaise de protection des informations personnelles. Son enquête sur la cause et l’étendue de l’incident est toujours en cours. Dans sa FAQ client, Sony a indiqué ne pas avoir confirmé de préjudice secondaire lié à l’incident au 29 octobre.
Cette déclaration établit une distinction importante : l’absence d’utilisation abusive confirmée ne permet pas d’affirmer que les identifiants exposés n’ont jamais été utilisés.
« Sony indique avoir réinitialisé les mots de passe de messagerie concernés, ce qui est une mesure importante. Mais réinitialiser un mot de passe ne permet pas de remonter le temps », a déclaré Darin Fredde, directeur principal chez Ridge Security. « Cela ne nous dit pas si une boîte de réception a été consultée auparavant, et il est évidemment impossible de changer la date de naissance de quelqu’un. »
Pourquoi le prochain contact pourrait sembler légitime
Un appelant qui connaît le nom, la date de naissance et l’identifiant de connexion à internet d’un client peut sembler être un représentant du service d’assistance du fournisseur. Ces informations ne doivent plus être considérées comme la preuve que l’appelant est digne de confiance.
Waseem Ahmed, responsable de l’ingénierie chez Secure.com, a averti que les attaquants pourraient exploiter la réponse à la fuite elle-même.
« Les clients doivent s’attendre à recevoir des SMS et des e-mails se faisant passer pour So-net ou plala, dont beaucoup leur demanderont de réinitialiser le mot de passe que Sony vient de réinitialiser », a déclaré Ahmed.
Il s’agit d’un avertissement concernant d’éventuelles arnaques consécutives, et non de la confirmation qu’une telle campagne a eu lieu. Les clients doivent accéder aux paramètres de leur compte depuis le site officiel du fournisseur plutôt que de suivre un lien de réinitialisation non sollicité. Reconnaître les différentes formes d’ hameçonnage, notamment par SMS et par téléphone, peut également les aider à repérer les contacts suspects qui leur feraient suite.
Les mots de passe exposés créent également un risque distinct de réutilisation frauduleuse d’identifiants : les attaquants peuvent tester ces mêmes identifiants sur d’autres services lorsque les clients les ont réutilisés.
« Toute personne dont le mot de passe de messagerie a été exposé devrait le changer partout où elle l’a réutilisé, et les organisations devraient imposer l’authentification multifacteur et vérifier les nouvelles connexions par rapport aux identifiants compromis connus », a déclaré Ahmed.
Protégez les comptes auxquels ces informations pourraient donner accès
Les clients informés de l’exposition de mots de passe de messagerie doivent commencer par sécuriser la boîte aux lettres concernée ainsi que tout compte ayant réutilisé ce mot de passe. Les personnes informées de l’exposition des sept dossiers d’identifiants My Page doivent également suivre les instructions de réinitialisation de compte de Sony et changer partout ailleurs tout mot de passe réutilisé.
Lorsque le service propose ces fonctionnalités, vérifiez les connexions récentes, les informations de récupération, les sessions actives et les règles de transfert, puis activez l’authentification multifacteur. Une adresse de récupération ou une règle de transfert inconnue mérite une enquête, même après un changement de mot de passe.
« L’exposition d’identifiants de messagerie crée un dangereux effet domino, car une boîte de réception compromise permet aux attaquants de prendre le contrôle des services associés au moyen de réinitialisations automatiques de mots de passe », a déclaré Andrew Hartnett, directeur technique de Bitwarden. « Les organisations doivent limiter cette portée en remplaçant les identifiants réutilisables par une authentification résistante à l’hameçonnage, comme les clés d’accès. »
Hartnett a également souligné l’importance de protéger les méthodes de récupération : « Cependant, à mesure que les organisations adoptent les clés d’accès, il est tout aussi essentiel de sécuriser les processus de récupération des comptes. Cela garantit que les solutions de secours fondées sur d’anciens mots de passe ne contournent pas involontairement ces contrôles cryptographiques plus robustes. »
Pour les équipes de sécurité, l’incident soulève une question plus large : des informations dérobées à un service grand public pourraient-elles aider quelqu’un à convaincre un service d’assistance de réinitialiser un compte professionnel ? Les risques illustrés par l’hameçonnage prenant pour thème les clés d’accès de Microsoft 365montrent pourquoi l’inscription, la récupération et la vérification par le support méritent autant d’attention que la connexion elle-même. Le personnel doit vérifier les demandes sensibles par un canal établi et éviter de s’appuyer sur des informations personnelles qui sont peut-être déjà publiques.
La fuite concernait également d’anciens clients. La conservation des données devient ainsi un enjeu concret de sécurité, même si la divulgation ne permet pas à elle seule d’établir que Sony a conservé ces informations de manière abusive. Les équipes doivent déterminer quels dossiers de comptes résiliés elles conservent, documenter pourquoi elles en ont encore besoin et supprimer les copies inutiles. L’exposition d’informations clients détenues par le prestataire d’expédition ShipMonkoffre une raison supplémentaire d’étendre ces vérifications aux fournisseurs de services.
Ahmed a également recommandé de surveiller la base de données elle-même et de déclencher des alertes en cas de lectures groupées et d’exportations inhabituelles. Il s’agit d’une recommandation défensive, et non d’une conclusion établie sur le déroulement de cette intrusion.
L’objectif pratique est de traiter à la fois l’accès immédiat et les futures usurpations d’identité. Réinitialiser les identifiants réduit la valeur des mots de passe volés ; examiner l’activité de la boîte aux lettres peut révéler une persistance ; renforcer les contrôles de récupération réduit ce à quoi les informations d’identité volées peuvent donner accès. Les clients et les organisations ont besoin de ces trois mesures, car les noms, les dates de naissance et les identifiants de compte peuvent rester utiles aux criminels longtemps après le confinement du serveur d’origine.
Pour en savoir plus : découvrez comment une fuite de données chez Brevo a permis d’envoyer des e-mails d’hameçonnage à 347 000 abonnés de Trezor, et pourquoi les canaux de diffusion familiers peuvent rendre les alertes de sécurité frauduleuses plus difficiles à repérer.