Les aventures de mon adresse e-mail piratée

En lisant ce qui est arrivé aux personnes victimes de la violation d’Ashley Madison en 2015, j’ai décidé de raconter mes propres aventures avec une adresse e-mail piratée que j’ai soumise à « Have I Been Pwned? ». (Non, je ne parle pas de la faille A-M !)

Un peu de contexte : l’adresse e-mail dont je parle est ma toute première adresse e-mail. Si ma mémoire est exacte, je l’ai créée en 1998 ou 1999. C’est l’une des premières choses que j’ai faites lorsqu’un nouveau cybercafé a ouvert dans mon quartier de Chennai, en Inde. J’étais en première.

Cette bonne vieille adresse e-mail Yahoo! a été associée à de nombreuses activités illicites sur IRC/Yahoo!. J’ai reçu mes premières photos digitales sur ce compte (salut, pinkbutterflybaby !), et j’ai postulé à ma première offre d’emploi avec cette adresse e-mail. Au fil des ans, c’est devenu l’adresse que je donnais lorsqu’un e-mail valide était nécessaire et qu’une adresse grrl.to ne suffisait pas.

Compte tenu de son ancienneté et de la fréquence à laquelle elle a été partagée, elle a été utilisée dans un grand nombre de violations. La longue liste de HIBP (Have I Been Pwned?) comprend Disqus, Tumblr, Trillian (oui, je suis un vieux de la vieille !), Zynga (maudit Farmville !), (etc.), et la liste est relativement exacte. Nous avons été en mesure d’obtenir beaucoup de ces listes pour la base de données Barracuda WAF Credential Stuffing Detection Database, et je suis « agréablement » surpris de voir à quel point mes anciens mots de passe étaient à la fois complexes et uniques.

Aux alentours de février 2019, j’ai eu trois exemples intéressants impliquant l’utilisation de cette adresse e-mail pour s’inscrire à diverses choses.

Le premier (et le plus intéressant) était la création d’un compte Instagram tôt le matin –

(Bien que le premier e-mail dans cette recherche parle d’une nouvelle connexion, je n’ai pas créé de compte. Je n’ai pas trouvé d’autres e-mails et j’ai immédiatement changé le mot de passe de ma messagerie Y!)

Je me suis réveillé en voyant cette tentative de connexion et j’ai essayé de me connecter au compte en réinitialisant le mot de passe. Ça a marché, et le compte n’avait pas de followers et aucune publication. Je me sentais propriétaire du compte, alors j’ai changé le mot de passe pour un autre plus sûr. Après cela, j’ai remarqué une tentative de connexion de cette autre personne le jour même, puis quelques autres tentatives au cours des mois suivants. C’était amusant (pour moi), car j’avais maintenant deux identifiants Instagram « convoités ».

(Mon autre pseudo Instagram est convoité par un homonyme. Cette personne essaie régulièrement d’accéder à mon compte en réinitialisant le mot de passe. À en juger par le comportement de ses amis qui me taguent dans des photos et des commentaires, c’est un adolescent plutôt acariâtre).Le second était une création de compte plus classique -

Cela s’est produit alors que j’étais éveillé et que j’avais décidé de ne pas m’inscrire à leurs newsletters. La fermeture du compte était malheureusement impossible.

Le troisième date d’il y a deux jours -

Royal Panda est un casino en ligne auquel lequel quelqu’un s’est inscrit avec mon adresse e-mail.

À part le premier cas, les autres créations de compte ont été plutôt inoffensives. Il s’agissait simplement de plusieurs spams non sollicités. Cependant, cela reste intéressant de suivre les aventures d’une adresse e-mail valide piratée. Par chance, cette adresse n’est associée à aucun compte important. Cela dit, elle a probablement été testée sur des sites majeurs, comme Disney+, pour tenter de pirater des comptes. Étant donné que de nombreux services populaires ont fait l’objet d’une violation publique, et que beaucoup ont probablement fait l’objet d’une violation n’ayant pas été identifiée ou révélée, il est judicieux de mettre en place des alertes pour vos adresses e-mail sur des services tels que haveibeenpwned.com. En remplaçant vos mots de passe par des mots de passe plus sûrs et en utilisant un bon gestionnaire de mots de passe pour les sécuriser et les gérer, vous contribuerez à sécuriser votre vie numérique pendant longtemps.