Fuite massive : 150 millions d’identifiants exposés en clair à cause de malwares espions

Fuite massive de données : près de 150 millions d’identifiants exposés en clair sur Internet

Une découverte récente met en lumière l’ampleur inquiétante des vols d’identifiants à l’échelle mondiale. Le chercheur en cybersécurité Jeremiah Fowler a identifié une base de données non sécurisée de 96 Go, hébergée sur le cloud, contenant près de 150 millions de combinaisons identifiant/mot de passe issues de services en ligne extrêmement populaires.Le plus préoccupant dans cette affaire : aucune protection n’était en place. Ni mot de passe, ni chiffrement, ni restriction d’accès. Autrement dit, ces données sensibles étaient librement accessibles à n’importe quel internaute, ouvrant la porte à d’innombrables abus.

Des services du quotidien massivement touchés

Selon le rapport publié par Jeremiah Fowler en collaboration avec Express VPN, les données exposées concernent une multitude de plateformes largement utilisées :

• Gmail : environ 48 millions de comptes
• Facebook : 17 millions
• Instagram : 6,5 millions
• Netflix : 3,4 millions
• Yahoo : 4 millions
• Outlook : 1,5 million
• iCloud, TikTok, Binance, OnlyFans
• ainsi que Disney+, HBO Max, Roblox et d’autres services

Plus grave encore, la base contenait également des données bancaires et des identifiants permettant l’accès à des services gouvernementaux dans plusieurs pays, augmentant considérablement les risques d’usurpation d’identité et de fraude.

À l’origine de la fuite : des malwares de type infostealer

Contrairement à une idée répandue, ces données n’ont pas été obtenues via le piratage direct des plateformes concernées. Elles proviennent de logiciels malveillants appelés “infostealers”, devenus extrêmement répandus ces dernières années.Ces malwares s’installent discrètement sur les appareils des victimes, souvent via :

• des pièces jointes piégées,
• de faux logiciels,
• ou des liens frauduleux.

Une fois actifs, ils collectent :

• mots de passe enregistrés,
• cookies de session,
• jetons d’authentification,
• URL de connexion,
• parfois même les frappes clavier.

Les informations sont ensuite centralisées sur des serveurs distants. Dans ce cas précis, le serveur utilisé par les cybercriminels était mal configuré, laissant les données exposées publiquement. Une ironie que Jeremiah Fowler souligne lui-même : même les infrastructures criminelles peuvent être victimes de graves négligences de sécurité.

Des données restées accessibles pendant plusieurs semaines

Bien que le chercheur ait alerté l’hébergeur, le serveur n’a été désactivé qu’après plusieurs semaines. Durant cette période, la base de données continuait même à s’enrichir de nouvelles entrées, preuve qu’elle était toujours alimentée.Il est donc impossible de savoir :

• combien de personnes ont consulté ces données,
• si elles ont été copiées,
• ou si elles circulent désormais sur des forums clandestins ou le Dark Web.

Un terrain idéal pour le credential stuffing

Avec des identifiants valides, les cybercriminels disposent d’un levier redoutable pour mener des attaques de credential stuffing (bourrage d’identifiants). Cette technique consiste à tester automatiquement des combinaisons e-mail/mot de passe sur de nombreux services, en exploitant le fait que beaucoup d’utilisateurs réutilisent les mêmes mots de passe.Les conséquences peuvent être lourdes :

• accès à des comptes personnels,
• vols d’argent,
• achats frauduleux,
• espionnage de conversations privées,
• ou attaques ciblées plus sophistiquées.

Que faire pour se protéger ?

Les experts en cybersécurité recommandent plusieurs mesures immédiates :

• Changer ses mots de passe sur les services sensibles
• Ne jamais réutiliser le même mot de passe
• Activer la double authentification (2FA) partout où c’est possible
• Vérifier que ses appareils ne sont pas infectés par un malware

Un point crucial est souvent négligé : changer un mot de passe ne sert à rien si l’appareil est compromis. Tant que le malware est actif, chaque nouveau mot de passe est immédiatement intercepté et transmis aux serveurs de collecte.