Les courriels et les mots de passe de millions d'utilisateurs de Flaticon et Freepik ont été exposés

Vous pouvez en apprendre beaucoup sur l'attitude d'une entreprise envers la sécurité à la suite d'une violation de données. Vous pouvez voir comment il l'a géré dans le passé, comment il le gère actuellement et jusqu'où il jette son regard dans le futur. Malheureusement, les entreprises sont violées pratiquement tous les jours et nous avons de nombreux exemples qui nous aident à comparer et à contraster les différentes réactions des différentes organisations. Freepik, la société derrière Freepik et Flaticon, est le dernier service en ligne à divulguer un incident de cybersécurité, et nous allons maintenant voir quel genre de conclusions nous pouvons tirer de l'événement.

Des pirates volent des informations sur 8,3 millions d'utilisateurs à Freepik

L'annonce a été faite samedi et a déjà été envoyée par courrier électronique aux 8,3 millions d'utilisateurs concernés. Selon lui, des pirates ont violé le site Web de Flaticon et mis la main sur une base de données contenant des enregistrements sur les 8,3 millions de premiers comptes enregistrés sur Flaticon.com et Freepik.com. 4,5 millions d'enregistrements ne contenaient que des adresses e-mail, car les titulaires de compte avaient utilisé leurs profils Facebook, Twitter ou Google pour se connecter. Dans les 3,77 millions d'enregistrements restants, les pirates ont également trouvé des hachages de mots de passe. Deux cent vingt-neuf mille des mots de passe affectés ont été hachés et salés avec MD5, et le reste a été protégé par bcrypt.

Freepik a commis des erreurs dans le passé

Il est maintenant évident que lorsque vous créez un compte sur l'un des sites Web de Freepik, vous créez automatiquement un compte sur l'autre également, mais lorsque vous consultez les formulaires d'inscription, vous verrez que cela n'est pas très clair, ce qui est une erreur. Malheureusement, ce n'est pas le seul.

Nous pouvons déduire de la déclaration qu'au tout début, Freepik hachait les mots de passe des utilisateurs avec MD5, un algorithme qui est trivialement facile à déchiffrer de nos jours. Apparemment, au fur et à mesure que la popularité des plates-formes augmentait, la société a réalisé qu'elle devait améliorer sa sécurité et est passée à bcrypt. Pour cela, il mérite une tape dans le dos. Cependant, Freepik n'a pas pensé à protéger les propriétaires des 229 000 premiers comptes, et ce n'est pas une bonne chose.

Le fait que les pirates aient fait irruption en utilisant une injection SQL n'est pas non plus le cas. Ces attaques sont considérées comme assez anciennes maintenant et protéger votre site Web contre elles n'est pas vraiment si difficile. En fait, certains experts vont jusqu'à dire qu'être vulnérable aux injections SQL en 2020 est totalement inacceptable.

En termes de divulgation, Freepik a fait beaucoup mieux que les nombreuses victimes de violation de données qui tentent de minimiser l'incident. Cette fois, nous comprenons clairement ce qui s'est passé exactement et ce que les utilisateurs concernés doivent faire. Le seul problème que nous pouvons trouver avec la divulgation de Freepik est le fait qu'il n'a pas indiqué quand la violation s'est produite exactement.

Freepik essaiera de faire mieux à l'avenir

Les dommages associés aux violations de données sont inévitables, mais si une entreprise veut vraiment sauver sa face, elle doit montrer aux utilisateurs qu'elle a réalisé ce qui s'est passé et qu'elle a appris ses leçons. Freepik a plutôt bien fait à cet égard.

Les mots de passe divulgués qui ont été hachés avec MD5 ont été réinitialisés et ne sont plus actifs. Les utilisateurs en ont été informés et sont invités à choisir de nouveaux mots de passe forts. Ceux dont les informations d'identification ont été hachées avec bcrypt sont également informés de l'incident et il leur est conseillé de changer leurs mots de passe par prudence. Freepik a également envoyé des courriels aux utilisateurs qui se sont inscrits avec leurs comptes de médias sociaux. Ils doivent être à l'affût des e-mails suspects et des attaques potentielles de phishing.

Plus important encore, Freepik dit qu'il met en place des mesures pour s'assurer qu'à partir de maintenant, les pirates ne pourront pas s'introduire aussi facilement. Espérons qu'ils fonctionneront.