1,2 milliard de mots de passe entre les mains de pirates russes

La plus grande collection de mots de passe au monde est entre les mains d’un groupe de jeunes pirates russes, selon ce que rapporte cette semaine le New York Times. Une situation préoccupante, certes, mais peut-être moins que ce que la quantité astronomique de mots de passe dérobés laisse supposer.

Plus de 500 000 adresses courriel ainsi que les noms d’utilisateurs et mots de passe de 420 000 sites Web ont été amassés par les pirates de CyberVor, le surnom que leur a donné Hold Security, la firme qui a sonné l’alarme cette semaine.

Selon l’entreprise spécialisée en sécurité informatique, les sites visés appartiennent autant à de grandes compagnies qu’à de très petites, et ce, partout dans le monde. Hold Security refuse toutefois de dévoiler le nom des compagnies affectées en raison d’ententes de confidentialité et pour ne pas nuire aux sites qui seraient toujours à risque.

Plusieurs médias et spécialistes de la sécurité informatique ont toutefois soulevé le fait que Hold Security offre un service payant pour révéler si une compagnie apparaît dans la liste des sites piratés, ce qui pourrait expliquer à la fois son silence et son intérêt à rendre sa découverte la plus alarmante possible.

Failles exploitées sur les petits sites

Les pirates de CyberVor ont commencé à accumuler des mots de passe dès 2011, surtout en les achetant sur le marché noir, explique Hold Security. Avec le temps, le groupe a évolué et a commencé à utiliser un réseau d’ordinateurs zombies pour attaquer divers sites grâce à des failles existantes. Les pirates russes n’ont donc pas profité d’une nouvelle faille généralisée, comme c’était le cas plus tôt cette année avec la faille de sécurité Heartbleed.

Certes, la quantité de mots de passe dérobée est impressionnante, mais il y a fort à parier qu’ils sont plutôt vieux ou qu’ils proviennent surtout de petits sites, et non de grands joueurs comme Google, Twitter et Facebook, qui sont protégés des techniques employées par les pirates de CyberVor.

Êtes-vous à risque?

Si vous utilisez le même mot de passe pour tous vos comptes, vous augmentez votre vulnérabilité face aux pirates de CyberVor. En utilisant le même nom d’utilisateur et le même mot de passe pour les sites importants (Gmail, Facebook, compte bancaire, etc.) et pour les petits sites souvent moins bien protégés (comme un forum de discussion), vous mettez tous vos comptes à risque. En effet, si un vieux forum de discussion sur lequel vous aviez un compte avait été attaqué par CyberVor, les pirates pourraient utiliser les mêmes identifiants pour accéder à vos comptes détenant des informations sensibles, par exemple un compte Amazon (dans lequel votre numéro de carte de crédit est inscrit) ou votre adresse courriel (qui peut contenir vos reçus bancaires).

En théorie, un groupe malintentionné peut ramasser beaucoup d’argent avec ce type d’information, par exemple en revendant la liste, en volant l’identité des internautes ou en soutirant de l’argent aux compagnies ou aux utilisateurs sous la menace de dévoiler leurs informations privées.

Cela dit, la firme Hold Security estime que les pirates de CyberVor préféreraient utiliser les mots de passe pour envoyer des pourriels à partir du compte des utilisateurs sur les médias sociaux, par exemple sur Twitter.

4 conseils pour protéger vos comptes personnels

• Aucune précaution ne permet d’être totalement à l’abri des attaques informatiques. On peut toutefois réduire les risques en prenant des précautions toutes simples. Ainsi, si un site se fait pirater, vos autres comptes ne seront pas affectés.
• Plus un mot de passe est complexe, moins il risque d’être découvert. Et plus il est long, plus les pirates auront de la difficulté à le décrypter.
• Conserver une liste avec tous ses mots de passe – surtout dans son portefeuille – est le meilleur moyen de se faire voler son identité si un individu malintentionné mettait la main dessus. Pour gérer vos mots de passe, utilisez un gestionnaire comme 1Password, LastPass ou Dashlane.
• Les brèches de sécurité ne sont pas toujours annoncées. Pour réduire les risques qu’un de vos comptes se retrouve en vente sur le marché noir pendant des mois, changez régulièrement vos mots de passe. Et comme la liste des sites piratés par CyberVor n’a pas encore été dévoilée, aujourd’hui s’avère une bonne journée pour commencer à les mettre à jour.

>> À lire aussi: Les 50 pires mots de passe, Comparatif de 5 services pour gérer vos mots de passe et Les 15 types de mots de passe les plus répandus