Situation embarrassante pour Adobe. Alors que la firme annonçait au début du mois avoir été la cible de pirates, avançant un nombre de 2,9 millions d'utilisateurs touchés, voici que l'éditeur revoit les dégâts à la hausse. Ainsi, les assaillants auraient accédé aux données de plus de 38 millions d'utilisateurs en dérobant un fichiers contenant plus de 150 millions de mots de passe, d'identifiants ou encore de numéros de carte de paiement. La semaine dernière, le fichier en question, qui pèse plus de 4 Go, a d'ailleurs été repéré sous le tag "150kk clients adobe inc". Des liens ont même été publiés sur divers sites tel que AnonNews.org, où le journaliste d'investigation Brian Krebs en a repéré une copie.
Brad Arkin, chef de la sécurité d'Adobe, précisait alors dans un billet de blog: « Notre enquête indique actuellement que les attaquants ont pu accédé aux ID client et aux mots de passe chiffrés sur nos systèmes. Nous pensons également que les pirates ont extrait de nos systèmes certaines informations relatives à 2,9 million de clients d'Adobe, y compris leurs noms, leurs numéros de cartes de crédit chiffrés, les dates d'expiration de celles-ci et d'autres informations relatives aux commandes des clients ».
Une attaque 13 fois plus importante que prévue
Malheureusement, le bilan s'annonce plus lourd que prévu. Selon le porte parole d'Adobe, Heather Edell, ce ne sont pas 2,9 millions mais 38 millions d'utilisateurs actifs qui auraient ainsi été victimes de l'attaque. « Désormais, notre enquête confirme que les assaillants ont pu avoir accès aux données d'environ 38 millions d'utilisateurs actifs », précise-t-elle. « Nous avons achevé de prévenir nos utilisateurs par courriel et nous avons également réinitialisé les mots de passe de tous les ID Adobe impliqués dans l'incident, indépendamment du fait que ces utilisateurs sont actifs ou non », a-t-elle affirmé. Alors qu'Adobe a fini d'informer les utilisateurs actifs concernés par l'attaque, la firme se concentrerait à présent sur les utilisateurs inactifs. « Nous sommes toujours en train d'enquêter sur le nombre de comptes inactifs, invalides ou de comptes de test impliqués dans l'incident et nous notifions actuellement leurs détenteurs », a ainsi déclaré Heather Edell.
Le code source de Photoshop subtilisé
En début de mois, Adobe avait également signalé le vol de code source de certains de ses produits phares. Alors que les dégâts ne devaient concerner que Reader, Acrobat et ColdFusion, Heather Edell a aujourd'hui avoué qu'une partie du code source de Photoshop avait été subtilisé. «Notre enquête indique qu'une partie du code source de Photoshop a été consultée par les assaillants dans le cadre de l'attaque survenue début octobre », admet-elle.
Alors que la firme certifie que les mots de passe dérobés étaient chiffrés, ceux-ci pourraient malgré tout, entre des mains expertes, être accessibles. Un incident qui rappelle bien l'importance d'un mot de passe efficace et différents sur chaque compte en ligne.Â