Fuite de données ? Vérifier et réparer

Module 2: Mots de passe et connexion · Temps de lecture : 10 minutes

Objectif pédagogique : Après cette leçon, vous saurez vérifier vous-même si vos données figurent dans une fuite, réagir dans le bon ordre à une fuite, et récupérer et nettoyer un compte piraté.

Notions clés : Have I Been Pwned, k-anonymat, notifications de fuites, révoquer des sessions, cookie de session, informations de récupération, règles de transfert

Comment vous apprenez qu'une fuite a eu lieu

Souvent, vous ne l'apprenez pas. Un mot de passe divulgué peut rester plusieurs mois dans une liste combinée avant que quelqu'un ne l'essaie. Soyez donc attentif aux signaux suivants :

• Un service vous informe par e-mail qu'une fuite de données a eu lieu. Vérifiez d'abord si cet e-mail est authentique (module 3) : rendez-vous vous-même sur le site plutôt que de cliquer sur le lien.
• Vous recevez un code de connexion ou une notification d'approbation que vous n'avez pas demandée vous-même (leçon 2.3).
• Vous voyez une notification « nouvelle connexion depuis un appareil inconnu ».
• Des clients ou collègues reçoivent d'étranges e-mails « de votre part », ou il vous manque un e-mail que vous avez pourtant envoyé.
• Votre gestionnaire de mots de passe vous avertit qu'un mot de passe figure dans une fuite.
• Vous ne parvenez soudainement plus à vous connecter, ou vos informations de récupération ont changé.

Vérifier vous-même avec Have I Been Pwned

Have I Been Pwned (haveibeenpwned.com) est un service connu et gratuit qui rassemble des données provenant de fuites de données publiquement connues. Vous pouvez y effectuer une recherche sur votre adresse e-mail. Vous verrez alors dans quelles fuites cette adresse apparaît et quels types de données étaient concernés : uniquement des adresses e-mail, ou aussi des mots de passe, des noms, des numéros de téléphone ou des adresses. La fonction « Notify me » vous envoie un e-mail si votre adresse apparaît dans une nouvelle fuite.

Effectuez cette vérification vous-même, sur le site du service. Dans cette formation, nous ne vous demandons jamais de saisir votre adresse e-mail ou votre mot de passe où que ce soit.

Il existe également une section Pwned Passwords, que les gestionnaires de mots de passe et les sites web utilisent pour vérifier si un mot de passe a déjà fuité. Cela fonctionne grâce au k-anonymat : votre mot de passe est converti sur votre propre appareil en un hachage (une empreinte numérique) et seuls les 5 premiers caractères de celui-ci sont envoyés au service. Le service renvoie tous les hachages connus commençant par ces 5 caractères, et votre propre appareil vérifie si votre hachage complet s'y trouve. Le service ne voit donc jamais votre mot de passe et ne sait même pas lequel des centaines de hachages renvoyés est le vôtre.

Deux remarques :

• Ne pas figurer dans la liste ne signifie pas être en sécurité. Une fuite qui n'est pas (encore) connue n'y figure pas. Les infostealers (leçon 1.4) volent aussi des mots de passe qui ne finissent jamais dans une fuite publiée.
• Figurer dans la liste ne signifie pas que tout est perdu. Regardez quelles données ont fuité et quand. Un mot de passe que vous n'utilisez plus depuis des années ne pose pas de problème ; un mot de passe que vous utilisez encore partout, si.

Que faire en premier après une fuite

L'ordre compte. La règle la plus importante : d'abord votre messagerie, car avec votre messagerie, un attaquant peut reprendre quasiment tous vos autres comptes via « mot de passe oublié ».

Pourquoi révoquer les sessions

Lorsque vous vous connectez, votre navigateur reçoit un cookie de session : une sorte de laissez-passer temporaire, pour que vous n'ayez pas à vous reconnecter à chaque clic. Celui qui possède ce cookie est connecté. Sans mot de passe et sans deuxième facteur.

C'est exactement ce que volent les infostealers : non seulement vos mots de passe, mais aussi vos cookies. Et un attaquant connecté avec votre mot de passe dispose également d'une session. Si vous changez uniquement votre mot de passe, cette session continue simplement de fonctionner chez certains services.

C'est pourquoi, après une fuite ou une connexion suspecte, vous consultez pour chaque service important la liste des sessions actives ou des appareils, et vous déconnectez tout ce que vous ne reconnaissez pas, ou tout sauf l'appareil sur lequel vous travaillez actuellement. Chez de nombreux services, un nouveau mot de passe vous déconnecte aussi partout ; vérifiez quand même.

La règle de transfert comme porte dérobée

Un cas typique. La comptable de la Boulangerie Example clique sur un e-mail de phishing et saisit son mot de passe de messagerie. L'attaquant se connecte à factuur@example.com et fait trois choses :

1. Il crée une règle : chaque e-mail contenant « facture », « paiement » ou « IBAN » dans l'objet est transféré vers une adresse externe sur leverancier-administratie.example et ensuite placé dans la corbeille.
2. Il définit son propre numéro de téléphone comme numéro de récupération.
3. Il se déconnecte à nouveau.

La comptable remarque que quelque chose ne va pas et change son mot de passe. Problème résolu, pense t elle. Mais la règle continue de fonctionner. L'attaquant lit en copie toutes les factures pendant des semaines, et un jour un client reçoit une facture « modifiée » avec un IBAN différent (leçon 1.2). Grâce au numéro de récupération, il peut aussi récupérer le compte.

Vérifiez donc toujours, pour une messagerie :

• les règles et filtres : surtout les règles qui transfèrent ou suppriment ;
• le transfert dans les paramètres de la messagerie et dans votre panneau d'hébergement ;
• les réponses automatiques que vous n'avez pas créées vous-même ;
• les mots de passe d'application et les applications connectées : supprimez ce que vous ne reconnaissez pas ;
• les informations de récupération et la liste des appareils de l'authentification à deux facteurs.

Si un compte a réellement été piraté

Si vous n'arrivez plus à vous connecter, utilisez uniquement la procédure de récupération officielle du service. Vous la trouverez en vous rendant vous-même sur le site, pas via un lien dans un e-mail ou une publicité de moteur de recherche. Méfiez vous d'une « aide à la récupération » que vous contactez vous-même sur les réseaux sociaux ou qui vous contacte : il s'agit souvent d'escrocs qui veulent vous piéger une seconde fois.

Ensuite :

• effectuez les étapes 3 à 8 du tableau ci-dessus ;
• créez de nouveaux codes de récupération et activez un deuxième facteur plus fort (leçons 2.3 et 2.4) ;
• signalez la fraude ou le phishing auprès de Cybermalveillance.gouv.fr (assistance aux victimes), https://www.cybermalveillance.gouv.fr/, et portez plainte auprès de la police ou de la gendarmerie, https://www.masecurite.interieur.gouv.fr/, en cas de préjudice ;
• notez ce qui s'est passé et quand. S'il s'agissait de données de clients, cela peut constituer une fuite de données (leçon 8.2).

En pratique : à quoi cela ressemble

Dans l'environnement WebOké, vous trouvez dans Mon WebOké, sous Identifiants de connexion, la carte Sessions actives, indiquant pour chaque session le navigateur, le système, l'adresse IP et depuis quand elle existe. Vous pouvez déconnecter une seule session ou tout déconnecter sauf l'appareil sur lequel vous vous trouvez actuellement. Dans Nextcloud, sous Sécurité, se trouve l'aperçu Appareils & sessions, où vous pouvez également révoquer un appareil ou l'effacer à distance. Le transfert et les filtres d'une messagerie se trouvent dans le panneau d'hébergement et dans le webmail. Chez d'autres fournisseurs, cela fonctionne de manière similaire : cherchez « sessions », « appareils », « sécurité » ou « activité récente ».

Résumé

• Vérifiez vous même sur haveibeenpwned.com si votre adresse e-mail figure dans une fuite connue ; Pwned Passwords fonctionne avec le k-anonymat (seuls les 5 premiers caractères du hachage sont transmis).
• Ne pas figurer dans la liste n'équivaut pas à être en sécurité.
• Après une fuite : d'abord votre messagerie, puis révoquer les sessions, vérifier l'authentification à deux facteurs et les informations de récupération.
• Un changement de mot de passe ne supprime pas les règles de transfert, les mots de passe d'application ni les sessions volées.
• Un compte piraté ne se récupère que via la voie officielle du service.

Quiz

Exercice

Exercice D2.5 : Votre propre vérification de fuite et nettoyage. Consultez vous même haveibeenpwned.com pour vos adresses e-mail professionnelles et activez « Notify me ». Examinez, pour votre messagerie et vos comptes principaux, les sessions actives, les règles de transfert, les mots de passe d'application et les informations de récupération, et nettoyez ce que vous ne reconnaissez pas. Cochez la liste de contrôle et répondez aux questions de réflexion. Vous ne saisissez aucune adresse e-mail ni mot de passe dans la formation.

Pour aller plus loin

Les étapes des articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le fonctionnement est similaire.

• Guide WebOké 3.6: Consulter les sessions actives et se déconnecter
• Guide Nextcloud 3.6: Afficher, révoquer ou effacer à distance les appareils et sessions
• Guide DirectAdmin 3.7: Mots de passe sécurisés et que faire en cas de mot de passe compromis
• La connexion à Nextcloud ne fonctionne pas : mot de passe, code ou limitation
• Boîte mail compromise ou spam envoyé depuis votre adresse : comment faire le ménage
• Have I Been Pwned (recherchez vous même votre adresse e-mail) : https://haveibeenpwned.com
• Have I Been Pwned, Pwned Passwords (en anglais, explication du k-anonymat) : https://haveibeenpwned.com/Passwords
• Cybermalveillance.gouv.fr (signaler une fraude ou un phishing) : https://www.cybermalveillance.gouv.fr/