Yahoo! a annoncé jeudi 22 septembre dans un communiqué que 500 millions de comptes de ses utilisateurs avaient été piratés en 2014, par un nation-state actor, soit une entité liée à un Etat. Yahoo! a annoncé jeudi 22 septembre dans un communiqué que 500 millions de comptes de ses utilisateurs avaient été piratés en 2014, par un nation-state actor, soit une entité liée à un Etat. Comment savoir si mes informations ont été dérobées ? Pour l'instant, seul Yahoo! le sait. L'entreprise a commencé à envoyer des courriels aux personnes dont les informations ont été volées, titrés «notice of data breach». Attention toutefois : il est probable que des personnes mal intentionnées envoient de faux mails d'alerte. Ne cliquez pas sur des liens et ne téléchargez pas de pièces jointes de courriels vous annonçant un piratage, au risque d'installer un logiciel espion sur votre ordinateur. Quelles données ont été volées ? Les pirates ont mis la main sur des informations personnelles comme des noms, des adresses e-mail et des dates de naissance. Les mots de passe auxquels ils ont pu accéder étaient chiffrés, «pour la grande majorité», avec bcrypt, une technique robuste qui a fait ses preuves. En revanche, le communiqué de Yahoo! laisse entendre qu'une partie des informations n'étaient pas, ou mal, chiffrées, notamment certaines données sensibles comme les questions et les réponses de sécurité permettant à un utilisateur de récupérer le mot de passe de son compte. Yahoo! assure néanmoins que les données bancaires n'ont pas été affectées. Que dois-je faire si les informations de mon compte ont été volées ? Le fait que les données ne soient pas publiquement disponibles à ce stade et que les mots de passe soient en grande partie chiffrés limitent les risques qu'un individu puisse entrer dans votre compte Yahoo!. Quelques précautions peuvent cependant être prises. • Changez votre mot de passe si vous ne l'avez pas fait depuis 2014. Dans le doute, changez-le. Le mieux est de choisir cinq ou six mots complètement au hasard. Il est également recommandé d'activer la double authentification, qui oblige, pour vous connecter à votre compte, d'être en possession du mot de passe et de votre téléphone, limitant ainsi les risques de piratage. • Si vous avez utilisé le mot de passe de Yahoo! sur un autre service, changez-le aussi. Il est risqué d'utiliser le même mot de passe sur plusieurs services : si l'un d'entre eux est piraté, il est possible d'utiliser le mot de passe pour compromettre l'autre compte. • Optez pour un gestionnaire de mots de passe, qui permet de gérer de nombreux mots de passe complexes. Parmi les données accessibles aux pirates figurent notamment certaines questions-réponses de sécurité (c'est ce qu'un service vous demande si vous avez oublié votre mot de passe, par exemple). Le risque existe que la personne mettant la main sur les données piratées de Yahoo! utilise les informations personnelles ainsi obtenues pour répondre à des questions de sécurité identiques pour pirater des comptes sur d'autres services. Ou pour envoyer des messages de phishing plus crédibles (un e-mail qui se fait passer pour un message authentique – de votre banque par exemple – mais qui est en réalité destiné à vous soutirer des informations comme votre mot de passe). De manière générale, ne cliquez pas sur les liens envoyés par e-mail lorsque ces derniers semblent louches (et passez directement par le site de votre banque, par exemple). Qui utilise encore Yahoo! ? C'était, ce 22 septembre, une plaisanterie récurrente sur les réseaux sociaux, après l'annonce du piratage : des milliers d'internautes feignant de s'étonner que Yahoo! ait pu avoir 500 millions d'utilisateurs. En réalité, si le groupe est aujourd'hui dans une passe très difficile et a perdu de très nombreux utilisateurs ces dernières années, il reste encore un géant du Web. Peu utilisé en France, où Google l'écrase tant dans le secteur des moteurs de recherche que dans celui des messageries, Yahoo! était à l'époque de son piratage massif le numéro un au Japon. Et, aux Etats-Unis, l'entreprise comptait, selon ses propres chiffres, 81 millions d'utilisateurs de Yahoo! Mail à la fin de 2014. A ces chiffres s'ajoutent ceux de FlickR, le populaire site de partage de photos propriété de Yahoo!, dont l'utilisation nécessite un compte Yahoo!. En 2014, le service comptait 92 millions d'utilisateurs. Qui a commis ce piratage ? On l'ignore, et on ne le saura peut-être jamais. Yahoo! affirme qu'il s'agit d'un groupe lié à un Etat, mais ne donne aucune indication sur son origine. Il a annoncé qu'il ne donnerait pas davantage d'information et qu'une enquête des services fédéraux américains est en cours. Qu'est-ce qu'un «nation-state actor» ? Ce terme, utilisé par Yahoo! pour décrire les pirates qui ont dérobé les données, est couramment utilisé dans le domaine de la sécurité informatique pour désigner des groupes qui agissent avec le soutien politique, logistique ou financier d'un Etat. Mais, dans la pratique, il peut recouper des groupes très différents, allant d'unités d'une armée spécialisée dans la guerre électronique (comme l'unité 61398 de l'armée chinoise, soupçonnée de nombreux cas d'espionnage et d'espionnage industriel) à des groupes mafieux qui travaillent ponctuellement pour des gouvernements. Il est donc impossible de savoir si le piratage de Yahoo! a été directement ordonné par un gouvernement, ou s'il a été commis par un groupe qui avait ses propres intérêts et bénéficie par ailleurs d'un soutien étatique. Où sont les données et qui les vend ? En août, le site spécialisé Motherboard avait affirmé qu'un pirate informatique se faisant appeler Peace avait mis en vente 200 millions de comptes Yahoo! sur un site du DarkNet – un réseau de sites non indexés par les moteurs de recherche et accessibles uniquement via un navigateur spécifique. Ces données étaient vendues à un prix de 3 bitcoins, soit environ 1 600 euros. Qui est ce «Peace» ? Il y a un an, son nom était encore un pseudonyme comme un autre et ne se retrouvait pas dans les colonnes des sites et journaux spécialisés. Depuis le mois de mai, le hackeur Peace, parfois appelé «Peace of Mind», a fait des apparitions récurrentes dans l'actualité. MySpace, LinkedIn, Twitter puis Yahoo!, il a commencé à mettre en vente sur le site The Real Deal, un des marchés noirs du Net, des centaines de millions de données et de mots de passe dérobés à des grandes entreprises. Dans une interview accordée en juin dernier au magazine Wired, Peace affirme être un hackeur russe, ancien membre d'une équipe désormais dissoute, qui avait découvert de nombreuses failles de sécurité et dérobé une grande quantité de données à des grandes entreprises du Net. Il assure avoir commis certains des piratages révélés cet été, mais que d'autres ont été l'œuvre de ses collègues. Il est aujourd'hui impossible de savoir si le piratage confirmé par Yahoo! jeudi est le même que celui qui a conduit à la mise en vente des données sur The Real Deal en août. Peace assurait à l'époque détenir les données de 200 millions d'utilisateurs, dont il faisait remonter le vol à «2012 probablement». Pourtant, Yahoo! a déclaré hier avoir subi un piratage vers la fin de l'année 2014, en signalant par ailleurs 500, et non 200 millions d'utilisateurs concernés. In latribune.fr
