En Russie, des criminels ont constitué une énorme base constituée de 1,2 milliard de noms d'utilisateurs et de mots de passe volés, auxquels s'ajoutent 500 millions d'adresses e-mail, selon Hold Security, une société américaine spécialisée sur la sécurité Internet. Il s'agit probablement de la plus grosse base d'identifiants dérobés, récupérés d'attaques conduites dans tous les coins du web et qui ont touché environ 420 000 sites. « Jusqu'à présent, nous étions stupéfaits lorsque 10 000 mots de passe avaient été compromis, maintenant nous en sommes au stade du vol massif », a confié Alex Holden, fondateur de Hold Security, à nos confrères d'IDG News Service. Sa société n'a pas communiqué le nom des sites qui avaient été attaqués, invoquant des accords de confidentialité avec ses clients, mais elle a indiqué que cela incluait des familles et de petits sites web.
Le New York Times, qui fut le premier à rapporter ce vol, s'est adressé à un expert en sécurité indépendant pour vérifier que les données volées étaient authentiques. L'ampleur de la base constituée semble éclipser les précédentes découvertes de données compromises. Par comparaison, le vol subi par Target (révélé en janvier dernier) a affecté 40 millions de cartes de débit et 70 millions d'informations personnelles. C'est, en matière de détournement d'identifiants, l'un des faits de cybercriminalité les plus importants constatés jusqu'à présent et qui porte ce type de délit à un niveau supérieur. « Ces gens n'ont rien fait de nouveau ni d'innovant », constate Alex Holden. « Ils l'ont juste fait mieux et à un niveau de masse ce qui touche absolument tout le monde ».
Le gang CyberVor est constitué d'une douzaine de jeunes gens
Le groupe derrière l'attaque semble être basé dans le centre-sud de la Russie, a indiqué Alex Holden au New York Times. Selon les informations qu'il a communiquées au quotidien américain, il s'agit d'une douzaine de personnes d'une vingtaine d'années qui ne semblent pas avoir de liens avec le gouvernement. Avec des serveurs basés en Russie, le groupe a étendu ses activités cette année, probablement après avoir été en contact avec une organisation plus importante. Hold Security a dénommé le gang CyberVor d'après le mot russe « vor » (voleur). La société a indiqué qu'elle fournirait un service pour permettre aux utilisateurs de vérifier si leurs identifiants figurent parmi ceux qui ont été volés. L'information sera disponible dans deux mois environ. Le pré-enregistrement pour y accéder est possible dès maintenant.
Ce détournement massif de noms d'utilisateurs et de mots de passe met une fois de plus en lumière le peu de sécurité apportée par les méthodes d'authentification, en particulier si les personnes se servent des mêmes noms et passwords pour plusieurs sites. Le recours à une méthode d'authentification à deux niveaux (avec envoi d'un code par SMS) renforce la sécurité mais ne constitue pas une garantie comme un utilisateur de PayPal vient tout juste de le démontrer. Après avoir, sans succès, alerté PayPal sur cette faille, il a expliqué comment cette fonction pouvait, en l'occurrence, être détournée via une connexion eBay.
MAJ - Des pirates russes ont amassé 1,2 milliard d'identifiants
6
Réactions
Le vol d'identifiants est passé à l'échelle supérieure avec la découverte que des cybercriminels russes avaient détourné 1,2 milliard de noms et mots de passe. A ce niveau, cela touche tout le monde, estime la firme de sécurité Hold Security qui a découvert ce groupe de pirates qu'il désigne sous le nom de CyberVor. (Mise à jour en encadré)
Newsletter LMI
Recevez notre newsletter comme plus de 50000 abonnés
Je commence à croire que c'est juste une excuse de grande envergure, mais c'est peut-être aussi le fait que j'utilise Lastpass et que je n'ai rien à craindre.
Signaler un abusJe cite "Sa société n'a pas communiqué le nom des sites qui avaient été attaqués" : on croit rêver ou plutôt cauchemarder ...
Signaler un abusCette société connait donc le nom des sites piratés mais elle refuse de les communiquer : Scandaleux !
De nombreux utilisateurs qui pourraient être prévenus ne le seront donc pas … et verront ainsi leur compte bancaire vidé (via paypal ?)
"libre donc pas compromis par une société",
Signaler un abusCa voudrait donc dire que les sociétés font n'importe quoi ? qu'elle seraient toutes des faussaires ?
hélas, "libre" est bien souvent synonyme de bugs à répétitions et innovations à la traine.
OpenSSL est libre et est troué de partout comme on pu le remarqué ces derniers mois, des failles au niveau mondial.
Bonjour, c'est peut-être pour cela qu'on reçois de "là-bas" des dizaines de mails au nom d' IMPOTS.GOUV nous demandant nos coordonnées : nom, prénom etc.
Signaler un abusUtilisez keepass par exemple, c'est du libre (donc pas compromis par une société), local crypté, un seul mot de passe pour l'accès et ensuite on génère des mots de passe aléatoire pour chaque site ou connexion...
Signaler un abus"La société a indiqué qu'elle fournirait un service pour permettre aux utilisateurs de vérifier si leurs identifiants figurent parmi ceux qui ont été volés. L'information sera disponible dans deux mois environ. Le pré-enregistrement pour y accéder est possible dès maintenant. "
Signaler un abusIdéal pour alimenter une seconde base de données permettant de recenser encore plus de monde pour avoir encore plus d'identifiants et de mots de passe .....