En février dernier, l'entreprise de sécurité informatique Hold Security LLC avait révélé l'existence d'un énorme butin de 360 millions de mots de passe volés, un chiffre stupéfiant et sans précédent. Aujourd'hui, l'entreprise vient de publier de nouvelles informations et affirme qu'un groupe de hackers russes a volé 1,2 milliard de mots de passe et les noms d'utilisateurs qui vont avec.
Un volume difficile à imaginer tant il est énorme.
Hold Security a déclaré au New York Times que les données proviennent de plus de 420.000 sites Internet, des plus petits aux plus grands, mais ne veut pas donner le nom de ces sites parce que cela pourrait augmenter le risque pour les utilisateurs. La société a également des clauses de confidentialité avec certains des sites. Le New York Times a interrogé un expert en sécurité informatique indépendant pour évaluer les découvertes d'Hold Security, et celui-ci a estimé qu'elles étaient exactes.
Les serveurs du groupe de hackers russes, composé d'une dizaine de jeunes hommes travaillant ensemble dans les domaines de la programmation et de la collection de données, semblent être basés en Russie centrale.
Le groupe semble avoir vu le jour en 2011 mais a accéléré sa productivité en avril en utilisant un important réseau de botnets pour infecter des internautes avec des logiciels malveillants et surveiller leur navigation.
Si les internautes visés consultent des sites que les botnets savent vulnérables, les hackers peuvent récupérer leur nom d'utilisateur et leur mot de passe. Alex Holden, fondateur de Hold Security et responsable de la sécurité de l'information au sein de l'entreprise, a déclaré au New York Times:
«Il y a une division du travail au sein du gang. [...] C'est comme ce que vous imagineriez d'une petite entreprise; chacun essaie de gagner sa vie.»
Parmi les 1,2 milliard de combinaisons «nom d'utilisateur + mot de passe», 542 millions concernent des adresses email, ce qui est vraiment beaucoup.
Mais que signifie «vraiment beaucoup» désormais? On dirait que ces chiffres ne vont cesser de gonfler tant que notre approche actuelle de la sécurité des comptes en ligne reste la même.
