Attaques célèbres et réussies de mots de passe

30 août 1999 - totalité des comptes Hotmail exposée publiquement
La totalité des comptes Microsoft Hotmail, le plus important fournisseur d'adresses email gratuites au monde, exposée publiquement.
Après la correction d'une faille de sécurité, une autre faille apparaît aussitôt permettant à n'importe qui au monde, avec un simple navigateur Web, de consulter la totalité des comptes Hotmail !
 Wired - Hotmail Hackers: 'We Did It'
 Wired - Hotmail Accounts Exposed to All
 Wired - Want Security? Forget Web Mail

11 décembre 2000 - vol/viol de données privées
Le vol, la commercialisation ou la simple consultation de données privées est partout. La tentation, la curiosité, le paraître, le sentiment de pouvoir, l'orgueil, l'argent, etc., il y a bien des raisons qui conduisent un individu à voler ou violer les données privées détenues dans une entreprise et auxquelles il a accès. Ce peut être les données sur les employés comme les données sur les clients ou utilisateurs ou prospects.
Aucune donnée se trouvant à l'extérieur de chez soi n'est à l'abri. Personne n'est infaillible et on trouvera toujours quelqu'un qui accèdera à ces données pour son usage personnel ou pour le compte d'un tier qui l'aura manipulé (Ingénierie Sociale). Aucune procédure de protection des données n'est infaillible et aucun logiciel n'est et ne sera jamais sans erreur ni à l'abrit des failles de sécurité.
Les employés et clients des entreprises exprimant de plus en plus souvent cette inquiétude, face aux employés même de ces entreprises, un nouveau poste et une nouvelle qualification son créées : « Directeur de la protection des données privées en entreprise ». Des spécialistes sont recrutés à ces postes.
11.12.2000 - La protection des droits privés devient une priorité
02.10.2001 - Les dix qui font Microsoft : Richard Purcell, chargé de protéger la vie privée des clients

12 janvier 2010 - Hack contre Google et de nombreux autres organismes revélé
Aucune information ne peut ni ne pourra jamais être en sécurité dans un système de traitement de l'information, surtout si celui-ci est dans un réseau et, pire encore, si l'information elle-même est déplacée dans l'un des noeuds du réseau comme les Clouds.
Le 12 janvier 2010, Google révèle avoir été victime d'un hack de très grande ampleur qui s'est étalé de mi 2009 à fin 2009. La Chine est montrée du doigt. Un logiciel d'attaque est identifié mais celui-ci semble s'être appuyé sur des modifications apportées aux composants électroniques des ordinateurs vendus en occident mais fabriqués en Chine. Une grande partie des ordinateurs opérationnels jusqu'en 2015 ou 2016 et autres appareils « communiquants » (modem, routeur, box, téléphones, tablettes, eeepc etc.) comportent probablement ces « switchs » électroniques.
 Wikipedia : Opération Aurora
 Googler Aurora attack
 Googler Mandiant Aurora

03 mars 2011 - Données politiques et financières de la France, préparant le G20, hackées !
Attaque informatique contre les ministères économique et financier
Bercy victime d'une vaste opération de piratage informatique
Le système d’information des ministères économique et financier a été victime d’une attaque d’espionnage informatique d’ampleur. L’attaque a, comme souvent, commencé par l’envoi de courriels contenant une pièce jointe piégée par un code malicieux non encore répertorié par les antivirus. L’ouverture de cette pièce jointe par des utilisateurs a permis l’installation d’un cheval de Troie, transformant leurs postes en têtes de pont pour les attaquants. Ces derniers ont ensuite pu, par l’intermédiaire de ces têtes de pont, compromettre d’autres postes, puis passer des ordres pour exfiltrer les données choisies, avant d’effacer leurs traces. Le niveau technique des procédés utilisés et la mise en œuvre constatée de l’attaque révèlent qu’il s’agit de professionnels déterminés et organisés. Le but des attaquants était, selon toute vraisemblance, de se procurer des informations économiques et financières sur la France, notamment dans le cadre du G20.

20 avril 2011 - Hack de plus de 77 millions de comptes Sony
Vol de plus de 77 millions de comptes sur des réseaux Sony. Concerne le réseau de jeu en ligne « PlayStation Network » et le service de location de contenu multimédia « Qriocity ». Monde entier. Pour chaque compte serait obtenu les nom, pseudo, âge, mot de passe et adresse e-mail. Les comptes sont donc consultables et comportent un onglet « Historique des achats » où on peut voir les 4 derniers chiffres des numéros de cartes de crédit, leur date d'expiration et l'adresse de facturation. Dans certains cas (ouverture de compte pour un tiers avec vos propres coordonnées bancaires, par exemple un parent pour lui-même et pour alimenter le compte de son enfant), toutes les coordonnées bancaires sont dévoilées - cela concernerait 2,2 millions de numéros de cartes bancaires totalement exposés (sauf code secret). Sony a avoué que les données personnelles etaient stockées en clair (non cryptées) et que "un système de sécurité très sophistiqué" a été insufisant pour protéger ces données. Dans les jours qui ont suivi, une augmentation d'activité sur les réseaux spécialisés de hackers en relation avec les cybercriminels ferait état de la mise en vente de ce fichier, y compris une demande de rançon à Sony. Pour les comptes où les coordonnées bancaires n'ont pas été obtenues en totalité, des attaques en phishing ou autres formes d'ingénierie sociale sont attendues.
Si le même couple identifiant / mot de passe a été utilisé pour d'autres services en lignes, il faut tous les changer.
Sony écrit délicieusement, dans ses conditions d'utilisation (vérifié le 17 avril 2012) : "Notre responsabilité ne pourra pas être engagée en cas d'usage ou de partage non autorisé d'un compte Sony Entertainment Network."
Googler ce hack
Mots de passe
Test de solidité des mots de passe.

12 octobre 2011 - 93.000 comptes Sony hackés !
Il semblerait que Sony ait « encore » connu une attaque. Le constructeur confirme que près de 93 000 comptes ont été piratés dont 60 000 comptes PSN et 33 000 comptes Sony Online Entertainment. Sony affirme, par la voix de Philip Reitinger, que les cartes de crédits associées à ces comptes ne sont pas menacées.
Googler ce hack
Mots de passe
Test de solidité des mots de passe.

07 mai 2012 - Hack de plus de 55000 comptes Twitter
Un anonyme a publié, le 07 mai 2012, 55000 comptes utilisateurs de Twitter (login (adresse courriel) et mot de passe) sur le site de partage de fichiers Pastebin.com. Twitter a immédiatement débuté une enquête et réinitialisé tous les mots de passe dévoilés.
Outre la vulnérabilité de ses systèmes, on se demande comment Twitter peut faire preuve d'autant de légèreté et stocker les mots de passe de ses utilisateurs en clair ! C'est proprement scandaleux.
Googler ce hack
Liste partie 1 - Liste partie 2
Mots de passe
Test de solidité des mots de passe.

06 juin 2012 - 6,5 millions de comptes LinkedIn piratés
Six millions et demi de mots de passe dans la nature (sur les 150 millions d'utilisateurs de LinkedIn). Le réseau social professionnel LinkedIn a été piraté par un hacker. Le vol d'identifiants, révélé mercredi 6 juin 2012 matin par un site norvégien, a été confirmé par le directeur de LinkedIn, Vicente Silveira, sur le blog du groupe. Le pirate se serait servi d'une faille de sécurité, qui lui aurait permis d'accéder à n'importe quel compte du réseau LinkedIn. Les mots de passe piratés sont cryptés mais le hacker s'attaque, dans un second temps, à l'algorithme de hachage utilisé et 300.000 mots de passe seraient déjà décryptés (voir 16 formes d'attaques des mots de passe.
Googler ce hack
Mots de passe
Test de solidité des mots de passe.

20 juin 2012 - 50GO de données bancaires hackées
Selon ZDNet ou l'Express.be, par exemple, l’hacktiviste « Reckz0r » prétend posséder 50 Go de données bancaires obtenus depuis les sites Internet de 79 banques américaines et mondiales. Une partie de ces données ont été mises en ligne sur le site Pastebin.
Googler ce hack
Mots de passe
Test de solidité des mots de passe.
16 formes d'attaques des mots de passe.

12 juillet 2012 - Un groupe de hackers pirate 453.000 comptes Yahoo!
Affirmant vouloir rendre service à l'entreprise, des pirates informatiques ont récupéré et diffusé sur Internet les mots de passe de milliers d'utilisateurs. Plus de 453.000 identifiants et mots de passe d'utilisateurs circulent sur Internet, à la suite d'une attaque touchant un service de Yahoo!. Les pirates ont publié un fichier de 18 Mo, contenant 453.492 e-mails et mots de passe, selon le site spécialisé TrustedSec. Les mots de passe «étaient reliés à une grande variété d'adresses mail, incluant les adresses yahoo.com, gmail.com et aol.com», ajoute le site. D'après les principaux intéressés, cités par le site Ars Technica, les données extraites étaient stockées sans cryptage! C'est proprement scandaleux.
Victime de Hacking / Phishing sur un compte Yahoo! ? Contactez le support téléphonique Yahoo! : 08 05 540 526
Googler ce hack
Mots de passe
Test de solidité des mots de passe.

10 septembre 2012 - 11.000 comptes du jeu Guild Wars 2 hackés !
Thousands of Guild Wars 2 passwords hacked. Le Journal du Gamer s'en fait l'écho également en disant : "Déjà 11074 comptes détournés ont été recensés par ArenaNet. Les pirates récupèrent les identifiants grâce à des malwares et en exploitant des failles de sécurité sur différents sites Web, notamment un site de fan dédié à Guild Wars. Si vous voulez éviter que votre compte soit hacké, n’utilisez pas, pour vous inscrire à Guild Wars 2, une adresse mail et un mot de passe que vous auriez utilisé pour vous accéder à d’autres sites Web.
Googler ce hack
Mots de passe
Test de solidité des mots de passe.

05 octobre 2012 - Noms, Prénoms et Téléphones de tous les comptes FaceBook hackés !
Me and Facebook (A Cautionary Tale)
Une faille du système de recherche de Facebook permet à (presque) n’importe qui de récolter automatiquement les noms, prénoms et numéros de téléphones associés aux comptes Facebook.
Faille dans Facebook : entretien avec un hacker de 18 ans
Mots de passe
Test de solidité des mots de passe.

31 janvier 2013 - Attaque chinoise contre les comptes des journalistes du New York Times
Blog officiel Twitter - Keeping our users secure
Après de longues enquêtes, le New York Times avait sorti un papier incendiaire, « Le magot caché des dirigeants chinois », le 02.11.2012, sur les fortunes personnelles du dirigeant chinois et des membres de sa famille. L'attaque chinoise vise à pénétrer les ordinateurs des journalistes pour remonter aux informateurs de ces journalistes.
Googler ce hack (New York Times piraté Chine)
Mots de passe
Test de solidité des mots de passe.

01 février 2013 - 250.000 comptes Twitter piratés !
Blog officiel Twitter - Keeping our users secure
Déclaration de la direction de Twitter sur son blog officiel. Recommandation de changer immédiatement tous les mots de passe. Suspicions d'attaques conduites par des professionnels contre Twitter et d'autres grands comptes et suivies d'envois massifs (spam) d'email crédibles de Phishing.
Googler ce hack
Mots de passe
Test de solidité des mots de passe.

22 juillet 2013 - 250.000 comptes Twitter piratés !
Journal des incidents des data centers OVH
Après les investigations en interne, il s'avère qu'un hackeur a réussi à obtenir les accès sur un compte email d'un de nos administrateurs système. Grâce à cet accès email, il a obtenu l'accès sur le VPN interne d'un autre employé. Puis grâce à cet accès VPN, il a fini par compromettre les accès de l'un des administrateurs système qui s'occupe du backoffice interne.
Googler ce hack
Mots de passe
Test de solidité des mots de passe.

05 août 2014 - Vol de 1,2 milliard de comptes utilisateurs d'Internet avec noms, mots de passe et adresses courriel !
La société de sécurité de l'information basée à Milwaukee, Hold Security, révèle qu’un groupe de hackers présumé russe et présumé soutenu/financé par le gouvernement russe est soupçonné d’être l’auteur d’un hack spectaculaire par son volume : le vol de plus de 1,2 milliard de comptes utilisateurs incluant leurs identifiants et mots de passe ainsi que plus de 500 millions d’adresses courriel. Ce hack est signalé pour la première fois le 05.08.2014 par le New York Times suivi par de nombreux autres médias.

420 000 sites Web présentant tous des failles de sécurité (injection SQL) ont été hackés.

Selon Hold Security, certaines grandes entreprises savent que les informations d'identification de leurs utilisateurs/clients font partie des vols. Hold Security n'a pas révélé quels sites avaient été compromis, mais a plutôt proposé deux services distincts :

• Pour les propriétaires de sites Web : coût 10 $ par mois. Ceci a provoqué une polémique de type « fake news » arguant que Hold Security aurait provoqué un mouvement de panique sur l’Internet afin de se faire des clients. À la demande du New York Times, un expert en sécurité non affilié à Hold Security a analysé la base de données des informations d'identification volées et a confirmé qu'elle était authentique.

• Pour les consommateurs : recherche de compromission gratuite, la base de données du hack leur étant disponible. Là aussi, une polémique met le doigt sur le fait que cela oblige ceux qui se sentent visés à envoyer leurs identifiant et mot de passe, cryptés, à Hold Security.

Hold Security a décrit le groupe responsable du piratage comme un petit groupe de « moins d'une douzaine d'hommes dans la vingtaine... basé dans une petite ville du centre-sud de la Russie, la région flanquée du Kazakhstan et de la Mongolie », et a surnommé le groupe CyberVor (en russe : « cyber voleur »).

Selon Alex Holden, fondateur et responsable de la sécurité de l'information chez Hold Security : « Les pirates ne ciblaient pas seulement les entreprises américaines, ils ciblaient tous les sites Web qu'ils pouvaient obtenir, allant des entreprises du Fortune 500 aux très petits sites Web, et la plupart de ces sites sont encore vulnérables. »

Sources :

• Wikipedia

• 05.08.2014 - New York Times - Russian Gang Amasses Over a Billion Internet Passwords

22 septembre 2016 - 500.000.000 (500 millions) de comptes Yahoo piratés !
22.09.2016 - L'Expansion / L'Express - 500 millions de comptes Yahoo piratés: ce que vous risquez
22.09.2016 - Recode - Yahoo is expected to confirm a massive data breach, impacting hundreds of millions of users
22.09.2016 - Le Figaro - Yahoo! confirme le piratage de 500 millions de comptes
Un hacker dont le pseudo est " Peace " a mis en vente 500 millions d'adresses e-Mail et mots de passe (et noms, dates de naissance, numéros de téléphone) des comptes Yahoo!, réussissant le plus gros piratage, en volume, de tous les temps. Le piratage aurait eu lieu fin 2014 (il y a deux ans) et Yahoo! ne l'aurait découvert qu'en juillet 2016 sans communiquer dessus. Yahoo! confirme le piratage ce soir, jeudi 22 septembre 2016, après l'article publié sur le site Recode. Les utilisateurs enregistrés chez Yahoo! sont invités à changer immédiatement leur mot de passe Yahoo! (Rappel : ne jamais utiliser le même mots de passe sur plusieurs sites / plusieurs comptes, sinon vous vous offrez au Web obscur, la plus grande partie, et la partie la plus active du Web). Yahoo!, dont les choix stratégiques (le choix d'un fonctionnement en " portail ", complètement périmé et ringard depuis la nuit des temps) l'ont conduit à de grandes difficultés financières, est en cours de finalisation de la vente de certaines de ses activités au géant Verizon (qui a déjà racheté AOL en 2015), dont, justement, les services News et Mail ! Verizon, qui débourse 4,4 milliards d'euros, le prend très mal. Le pirate " Peace " a mis en vente 200 millions d'adresses e-Mail et mots de passe (hashcodes faibles de 200 des 500 millions de comptes, probablement cassés en utilisant des tables arc-en-ciel) pour 1 600 €, soit beaucoup moins cher que l'achat d'adresses e-Mail auprès de fournisseurs plus ou moins " légaux " de fichiers de contacts (liste de fournisseurs de ce type dans : CSP+ CSP CSP- Fichiers et Catégories socioprofessionnelles). Tous les comptes courriel des utilisateurs de Yahoo! sont donc compromis (tous les courriers conservés sur le WebMail sont lisibles depuis 2 ans par le pirate et ses " clients "). Des opérations de spam et de phishing ( hameçonnage) sont possibles et, probablement, en cours.
Googler ce hack
Mots de passe
Test de solidité des mots de passe.

15 décembre 2016 - 1 milliard de comptes Yahoo piratés !
Le 22 septembre 2016, Yahoo! révélait une violation remontant à août 2013 qui compromettait les mots de passe d’1/2 milliard de ses utilisateurs.

Aujourd’hui, 15 décembre 2016, soit à peine plus de 2,5 mois après, Yahoo! admet avoir été victime d’une autre attaque, séparée de celle d'août 2013, mais ayant eu lieu également en août 2013, portant sur une autre faille de sécurité, et ayant conduit à la compromission des données de plus d’un milliard de comptes d'utilisateurs supplémentaires. Yahoo! admet également que des attaquants ont trouvé un moyen de se connecter à des comptes Yahoo! sans même avoir besoin de fournir les mots de passe des victimes.

« Selon une analyse approfondie de ces données par les experts en criminalistique, nous croyons qu'un tiers non autorisé, en août 2013, a volé des données associées à plus d'un milliard de comptes d'utilisateurs », a déclaré Bob Lord (responsable de la sécurité des systèmes d’information chez Yahoo) le 15 décembre 2016. « Nous n'avons pas été en mesure d'identifier l'intrusion associée à ce vol. »

La déclaration indique que « pour les comptes potentiellement affectés, les informations de compte d'utilisateur volé peuvent avoir inclus :

• les noms

• les adresses de courriel

• les numéros de téléphone

• les dates de naissance

• les mots de passe hachés (en utilisant MD5)

• Et, dans certains cas, des questions de sécurité chiffrées ou non chiffrées. »

Le hachage MD5 (Message Digest 5) est une fonction de hachage cryptographique (un algorithme) qui permet d'obtenir l'empreinte numérique (hashcode - condensat) d’une donnée. MD5 peut, depuis des années, être cassé : des techniques comme les Tables arc-en-ciel (Rainbow Tables), permettent de décrypter (remonter du condensat au contenu qui l'a généré), très rapidement, un hashcode (condensat) MD5.

En plus, Bob Lord a déclaré que les attaquants avaient élaboré un moyen de forger des « cookies » que Yahoo! place sur les ordinateurs des utilisateurs lorsqu'ils se connectent. Les cookies d'authentification sont de petits fichiers texte contenant des informations sur la session de l'utilisateur avec Yahoo. Les cookies peuvent contenir beaucoup d'informations sur l'utilisateur, par exemple si l'utilisateur s'est déjà authentifié sur les serveurs de Yahoo!

Avec de tels cookies forgés, les cybercriminels se substituent à l’utilisateur et font croire à Yahoo! que l’utilisateur est dans une session authentifiée. Ceci permet de se faire passer pour l’utilisateur ciblé sans avoir besoin de fournir le mot de passe du compte. Si la connexion est rafraîchie avant chaque expiration, un cookie forgé permet aux cybercriminels de rester connectés dans les comptes piratés indéfiniment.

Yahoo! déclare être en cours de notification aux titulaires de compte affectés, et que les cookies forgés sont invalidés.

Bob Lord a également déclaré : « Nous avons relié une partie de cette activité au même acteur, sous commande d’un État, qui serait responsable du vol de données divulgué le 22 septembre 2016 ».

Les utilisateurs doivent changer leurs mots de passe, leurs questions de sécurité et les réponses à ces questions, pour tous les comptes Yahoo! sur lesquels ils ont utilisé la même information ou une information similaire.

Yahoo! demande aux utilisateurs d'examiner leurs comptes pour les activités suspectes et d'envisager d'utiliser « Yahoo! Account Key », un outil d'authentification simple qui élimine le besoin d'utiliser un mot de passe sur Yahoo!.

D’une manière générale, ne jamais utiliser de compte courriel poubelle comme Yahoo ! Mail, Google Mail, etc.

D’une manière générale, ne jamais utiliser un même mot de passe sur plusieurs comptes. Toujours utiliser des mots de passe différents sur chaque compte, de quelque nature que soit les comptes.

Test de solidité des mots de passe.

01 septembre 2017 - 6 millions de comptes Instagram piratés !
Le 01 septembre 2017, Mike Krieger, cofondateur d'Instagram (application de partage de photos et de vidéos qui appartient à Facebook), annonce discrètement, sur son blog, qu'un bug a été découvert et corrigé.

Deux jours après, c'est d'un hack (piratage) de 6 millions de comptes Instagram dont on parle ! L'affaire fait du bruit, car de nombreuses personnalités célèbres sont touchées dans tous les domaines. Les données ainsi piratées ont été mise en vente, sur un site éphémère, à raison de 10 US$ par adresse e-mail ou numéro de téléphone. Dans le cas présent, il semble bien qu'aucun mot de passe n'ait été piraté.

Test de solidité des mots de passe.

21 décembre 2018 - 40.000 comptes gouvernementaux compromis dans 30 pays

Group-IB, une société internationale spécialisée dans la prévention des cyberattaques, a détecté plus de 40 000 identifiants d’utilisateur de services gouvernementaux compromis dans 30 pays.

La plupart des victimes se trouvaient en Italie (52%), en Arabie saoudite (22%) et au Portugal (5%), Pologne (gov.pl), Roumanie (gov.ro), Suisse (admin.ch), sites Web du ministère italien de la Défense (difesa.it), Forces de défense israéliennes (idf.il), gouvernement La Bulgarie (gouvernement.bg), le ministère des Finances de la Géorgie (mof.ge), la direction norvégienne de l'Immigration (udi.no), les ministères des Affaires étrangères de la Roumanie et de l'Italie et de nombreux autres organismes gouvernementaux.

Les employés du gouvernement, militaires et civils, qui ont des comptes sur les portails officiels du gouvernement de la France (gouv.fr), de la Hongrie (gov.hu) et de la Croatie (gov.hr) sont également victimes.

Les cybercriminels volent les données des comptes utilisateurs en utilisant des logiciels espions spéciaux: enregistreurs de formulaires, enregistreurs de frappes au clavier (keylogger) tels que Pony Formgrabber, AZORult et Qbot (Qakbot).

Des e-mails de phishing ont été envoyés à des comptes de messagerie personnels et professionnels.

L'infection provient d'un logiciel malveillant sous la forme d'une pièce jointe à un courriel ressemblant à un document légitime. Une fois la pièce jointe ouverte, la malveillance s’exécute, volant des informations personnelles. Par exemple :

1. Pony Formgrabber récupère les informations de connexion des fichiers de configuration, des bases de données et des stockages secrets de plus de 70 programmes sur l'ordinateur de la victime, puis envoie les informations volées au serveur C&C des cybercriminels.

2. AZORult vole les mots de passe des navigateurs les plus utilisés et, également, des données de portefeuilles cryptés.

3. Qbot recueille les informations de connexion via l’utilisation d’un keylogger, vole les fichiers témoins et les certificats, les sessions Internet actives et dirige les utilisateurs vers de faux sites Web.

Ce que ne dit pas la source est la méthode utilisée pour faire la ventilation des origines des comptes compromis. On peut imaginer qu'ils ont une activité (des comptes) sur le Dark Web et peuvent suivre les offres de vente des identifiants des comptes compromis.

Source