Des identifiants déjà divulgués peuvent devenir un nouveau risque de sécurité lorsqu’ils sont regroupés dans une base de données non sécurisée.
Dans un rapport publié le 12 octobre par ExpressVPN, le chercheur en cybersécurité Jeremiah Fowler explique avoir découvert 13,7 millions de données accessibles au public dans une base de données liée à Vibetech, une entreprise indienne de développement de logiciels d’IA.
La collection comprenait des jeux de données portant des noms tels que AT&T, Amazon, Walmart et PayPal. Ces appellations ne permettent pas d’établir l’existence de nouvelles fuites chez les entreprises citées.
Cet incident met en évidence un problème persistant lié aux données volées. Des informations compromises lors d’une fuite peuvent rester une menace longtemps après l’incident initial, en particulier lorsqu’elles sont regroupées dans une autre base de données insuffisamment sécurisée. Bien que la base de données ait apparemment été sécurisée après le signalement, on ignore toujours si des personnes non autorisées ont consulté ou téléchargé les données avant cette intervention.
Les détails de l’incident
Fowler a relié l’adresse IP de la base de données à une plateforme de renseignement sur les données qui, selon lui, était exploitée ou développée par Vibetech. Le nombre de données recensées ne permet pas d’établir combien de personnes distinctes ont été touchées.
Fowler a précisé que, dans un échantillon limité, les données concernaient des personnes de plusieurs pays, ce qui montre comment une collecte de données à grande échelle peut exposer, en un même lieu à haut risque, des personnes dispersées dans le monde entier.
Les données identifiées comprennent des noms, des numéros de téléphone, des adresses e-mail, des mots de passe, des coordonnées bancaires et d’autres informations.
Fowler a recensé des collections intitulées AT&T Data Leak, Gambling Private Combo, casio.ru Data Breach et Amazon Private Combo, contenant respectivement environ 7,91 millions, 2,24 millions, 1,71 million et 1,21 million de données.
D’autres appellations faisaient référence à Walmart, aux utilisateurs de WhatsApp en Espagne, à PayPal, à un annuaire d’employés du FBI et à Interpol. Ces appellations ne suffisent pas à vérifier l’origine des données.
Fowler a indiqué que certains jeux de données ne correspondaient pas aux volumes connus de fuites publiques, ce qui laisse leur origine exacte incertaine.
Après avoir identifié l’exposition, Fowler a prévenu l’entreprise associée à l’adresse IP ainsi que son hébergeur. La base de données a ensuite été restreinte. Le lendemain, l’adresse IP affichait le tableau de bord d’une plateforme de conformité à un système de management de la sécurité de l’information (SMSI).
La relation exacte entre Vibetech, la plateforme et la base de données demeurait incertaine.
Fowler a suggéré que la plateforme pouvait être un projet interne ou un logiciel développé pour un client tiers. On ignore toujours combien de temps la base de données est restée exposée et si quelqu’un d’autre y a accédé.
Une autre forme de risque lié aux données
Pour les équipes de sécurité, cet incident met en évidence deux responsabilités : réagir face aux identifiants exposés et protéger les données issues de fuites que leur organisation collecte.
Lorsque des identifiants exposés sont associés à des comptes professionnels, les équipes doivent vérifier si ces comptes sont toujours actifs, réinitialiser les mots de passe concernés et examiner l’activité de connexion à la recherche d’accès suspects. Un ancien mot de passe peut ne plus fonctionner, mais les noms, adresses e-mail et numéros de téléphone qui l’accompagnent peuvent toujours aider les attaquants à élaborer des messages d’hameçonnage convaincants.
Les organisations qui gèrent des référentiels de renseignements sur les fuites devraient exiger une authentification, limiter l’accès au personnel autorisé et surveiller les requêtes et téléchargements en masse. Les identifiants bruts ne devraient être conservés que lorsque cela est nécessaire à une finalité défensive définie.
Si un référentiel devient accessible au public, les intervenants devraient conserver les journaux disponibles et enquêter sur la période d’exposition tout en restreignant l’accès. La fermeture de la base de données met fin à l’exposition en cours, mais ne permet pas d’établir si des copies ont déjà été réalisées.
Le fait de regrouper ces données crée un autre point d’exposition et peut faciliter la recherche, l’organisation et la récupération d’identifiants provenant de différentes sources, sans devoir localiser chaque fuite d’origine. Have I Been Pwned illustre une approche plus restrictive : sa recherche par adresse e-mail ne révèle pas les mots de passe associés, et les recherches par domaine nécessitent de vérifier que l’utilisateur en a le contrôle. La surveillance des fuites peut fournir des informations utiles sans rendre les identifiants bruts accessibles au public.
Le risque ne disparaît pas lorsque la base de données est sécurisée. Toute personne qui y aurait accédé et en aurait téléchargé le contenu avant la restriction de l’accès pourrait en conserver une copie, échappant ainsi au contrôle immédiat du propriétaire. Les rapports n’établissent pas que cela s’est produit, mais cette possibilité montre pourquoi la suppression de l’accès public ne garantit pas que les informations exposées ont été récupérées ou effacées.
Ce que cela signifie pour vous
Votre mot de passe ne devient pas sûr simplement parce que la fuite qui l’a exposé remonte à plusieurs années. Si vous utilisez encore le même mot de passe sur d’autres services, des cybercriminels pourraient l’essayer sur vos comptes de messagerie, bancaires ou de réseaux sociaux, et potentiellement y accéder sans avoir à s’introduire directement dans ces plateformes.
Utiliser un mot de passe unique pour chaque compte et activer l’authentification multifacteur peut réduire ce risque.
Si vous pensez que vos identifiants ont été exposés, modifiez les mots de passe concernés ainsi que toutes leurs versions réutilisées, en commençant par vos comptes de messagerie et comptes financiers. Vous pouvez rechercher votre adresse e-mail sur Have I Been Pwned pour vérifier si elle apparaît dans des fuites indexées par le service. Un résultat vierge ne prouve pas que vos informations n’ont jamais été exposées, et cette recherche ne permet pas nécessairement de confirmer leur présence dans cette base de données particulière.
Mais les utilisateurs ne sont pas les seuls responsables. Les entreprises qui collectent, analysent ou stockent des informations déjà divulguées doivent elles aussi les protéger, car sécuriser le service d’origine ne sert pas à grand-chose si les mêmes données peuvent être exposées à nouveau ailleurs.
En savoir plus : la faille du registre danois met en évidence les risques liés à une authentification faible et aux accès de tiers, soulignant pourquoi les bases de données sensibles nécessitent des contrôles d’accès et une surveillance stricts.