Fuite de données Dailymotion : ce qui a fuité et que faire

Les données exposées

Have I Been Pwned liste 3 types de données dans cette fuite. En rouge, celles qui permettent d'agir directement à votre place.

• adresses e-mail
• mots de passe
• noms d'utilisateur

Nous classons cette fuite comme critique, car on y trouve : mots de passe. Ce type de donnée permet d'agir directement à votre place : se connecter à un compte, prélever de l'argent ou ouvrir un service à votre nom.

Ce que l'on sait de cette fuite

En octobre 2016, la plateforme de partage de vidéos Dailymotion a subi une fuite de données. D’après Have I Been Pwned, l’attaque a exposé plus de 85 millions de comptes utilisateurs. Les informations concernées comprenaient des adresses e-mail, des noms d’utilisateur et des empreintes de mots de passe.

Les noms d’utilisateur correspondent à l’identité utilisée sur la plateforme. Ils figuraient dans les données avec les adresses e-mail des comptes. L’exposition portait donc à la fois sur ces identifiants et sur des informations liées aux mots de passe.

Les mots de passe étaient présents sous forme d’empreintes bcrypt. Une empreinte est une représentation calculée à partir d’un mot de passe, plutôt que son texte directement lisible. Cette précision permet de comprendre la forme des données exposées : les fichiers contenaient les empreintes associées aux comptes, aux côtés des adresses e-mail et des noms d’utilisateur.

Que faire maintenant

Ces gestes sont choisis selon les données réellement exposées. Faites-les dans l'ordre : les premiers sont les plus urgents.

1. Vérifiez si votre adresse est concernéeSaisissez votre adresse e-mail sur haveibeenpwned.com (service gratuit, créé par Troy Hunt). Notre site ne vous la demandera jamais. Vérifier sur haveibeenpwned.com
2. Changez le mot de passe, partout où vous l'avez réutiliséUn mot de passe exposé est essayé automatiquement sur d'autres sites. Changez-le sur Dailymotion s'il existe encore, puis sur chaque compte où vous utilisiez le même. Un gestionnaire de mots de passe évite de recommencer. Tester un nouveau mot de passe
3. Activez la double authentificationMême si quelqu'un connaît votre mot de passe, il lui faudra aussi le code reçu sur votre téléphone ou dans une application. Commencez par votre messagerie : c'est elle qui permet de réinitialiser tous les autres comptes. Fiches double authentification
4. Méfiez-vous des e-mails qui citent cette fuiteDes messages frauduleux reprennent souvent les vraies informations d'une fuite (nom, service, date d'achat) pour paraître crédibles. Ne cliquez pas sur un lien reçu : rendez-vous vous-même sur le site officiel.
5. Connaissez vos droitsSi le service est établi dans l'Union européenne, il doit notifier la fuite à l'autorité de protection des données (la CNIL en France) et, en cas de risque élevé, vous prévenir. Vous pouvez lui demander quelles données vous concernant ont été touchées. Adresser une plainte à la CNIL

Cette fuite en perspective

La fuite date du 20 octobre 2016, mais elle n'a été ajoutée à Have I Been Pwned que le 7 août 2017, soit environ 10 mois plus tard. Pendant ce délai, les données ont pu circuler sans que les clients le sachent : c'est pourquoi changer un mot de passe ancien reste utile.

Avec 85 176 234 comptes, elle se place au 28e rang des 440 fuites de notre liste par nombre de comptes. Notre liste recense 36 autres fuites datées de 2016.

Pour ne plus subir les fuites mais les anticiper, le parcours Vie privée, ceinture verte explique en huit leçons comment limiter les données que vous confiez, et nos fiches sécurité montrent pas à pas comment activer la double authentification sur vos comptes.