Les hackers du site de rencontres extraconjugales Ashley Madison ont mis leur menace à exécution: le 19 juillet, ils ont mis en ligne sur le dark web 9,7 gigaoctets de données liées à 32 millions de comptes du site, qui se présente lui-même comme le «leader mondial des rencontres extraconjugales discrètes».
Mi-juillet, le groupe de hackers The Impact Team avait affirmé avoir piraté les serveurs de la société canadienne Avid Life Media (ALM), qui gère Ashley Madison ainsi que deux autres sites de rencontre, Cougar Life et Established Men. Si l'entreprise ne fermait pas ses trois sites, les hackers menaçaient de révéler toutes les données piratées...
Les experts sont encore en train de trier la gigantesque base de données, mais on sait déjà qu'elle inclut les pseudos des utilisateurs, leurs noms et prénoms, leurs adresses postales et leurs adresses emails. Parmi elles, 15.019 comptes ont été ouverts avec des adresses liées à l'administration américaine (.gov) ou à l'armée (.mil).
Des adresses pas forcément mieux sécurisées
On ne sait pas (encore) à quelles personnes, voire personnalités sont liées ces adresses professionnelles. Mais sont-elles plus sécurisées que les autres? En mars 2015, quand le New York Times révélait qu'Hillary Clinton n'avait jamais utilisé son adresse officielle de secrétaire d'État mais lui avait préféré son propre compte email, on apprenait qu'effectivement ces adresses étaient soumises à des mesures de sécurité élevées.
Pourtant, Justin White (ancien directeur de la sécurité des informations pour l'État du Colorado et consultant en sécurité de l'information pour Microsoft, interrogé par le Time) ne recommanderait ni les adresses mail personnelles, ni les professionnelles. Certains ministères utilisent effectivement des adresses mail hautement sécurisées, mais ce n'est pas le cas de tous. D'un autre côté, les adresses comme Gmail comportent des carences en matière de sécurité.
De nombreuses adresses fake
Même si les noms liés à ces adresses mails finissent par fuiter, ne les jugez pas trop vite. Comme le rappelle l'expert en sécurité informatique Graham Cluley, il est très simple de s'inscrire avec un faux email. Ashley Madison ne procède à aucune vérification de compte et vous pouvez commencer à utiliser tous les aspects gratuits du site.
Dans la liste des adresses mail professionnelles mise en ligne par le twittos @t0x0, on peut d'ailleurs repérer une adresse «fakeemail.gov». C'est sans doute comme cela que le nom de l'ancien premier ministre anglais Tony Blair se serait retrouvé dans la liste.
Si vous tenez tout de même à savoir si une adresse de personnalité américaine (ou française, Ashley Madison affirme avoir plusieurs milliers d'utilisateurs en France) se trouve dans la base de données fuitée, vous n'avez qu'à le vérifier vous-mêmes: un anonyme a d'ores et déjà créé un moteur de recherche.
