Votre compte Vimeo a-t-il été gelé? Voici pourquoi

Il est sûr de dire que les individus devraient être responsables de leur propre sécurité et devraient en supporter les conséquences lorsqu'ils ne prennent pas cette tâche suffisamment au sérieux. Néanmoins, les fournisseurs de services en ligne qui prennent des mesures proactives pour protéger leurs utilisateurs méritent certainement une tape proverbiale dans le dos. Cela dit, la communication de leurs actions avec les utilisateurs est probablement aussi importante que les actions elles-mêmes, et malheureusement, c'est là que parfois les choses ne vont pas aussi bien que tout le monde l'espère. La plate-forme de partage de vidéos Vimeo, par exemple, nous a montré comment des initiatives de sécurité mal expliquées peuvent créer beaucoup de confusion.

Les comptes "gelés" laissent les utilisateurs de Vimeo se gratter la tête

La semaine dernière, certains propriétaires de comptes Vimeo ont réalisé qu'ils ne pouvaient pas se connecter à la plateforme de publication vidéo. David Smith, un lecteur du journal Infosec The Register, a expliqué qu'il avait reçu une notification lui disant qu'un "étranger" avait accédé à son compte et que pour le protéger, Vimeo avait décidé de geler le profil. Ce type de scénario n'est pas aussi rare que vous ne le pensez, et bien que nous parlions d'un accès non autorisé, cela ne signifie pas nécessairement que le service en ligne (Vimeo, dans ce cas) a été compromis.

Le bourrage des informations d'identification devient de plus en plus populaire auprès des cybercriminels. Dans ce document, les escrocs prennent une base de données de noms d'utilisateur et de mots de passe volés sur un site Web (par exemple, un forum de discussion en ligne) et les testent sur une autre plate-forme (par exemple, Facebook). Étant donné que de nombreuses personnes réutilisent les mêmes informations de connexion sur plusieurs sites Web, un grand nombre de profils Facebook pourraient être compromis malgré le fait que le réseau social lui-même n'a pas été ciblé par des pirates.

Certaines statistiques récemment publiées par Microsoft ont montré que la pulvérisation de mots de passe est également assez courante de nos jours. Dans une attaque par pulvérisation de mots de passe, les escrocs prennent une liste de noms d'utilisateurs connus et les associent à quelques mots de passe couramment utilisés et faciles à deviner. Encore une fois, la tendance des gens à utiliser les mêmes mots de passe faibles signifie que les cybercriminels peuvent s'introduire dans les comptes des utilisateurs avec une relative facilité.

Vimeo a déclaré que les logiciels malveillants avaient volé les informations d'identification des utilisateurs

David Smith savait qu'il n'avait pas été ciblé par une attaque de bourrage d'informations d'identification, et il était également assez sûr que la pulvérisation de mot de passe n'était pas impliquée. Il était convaincu que quelque chose d'autre était le problème parce que, contrairement à beaucoup de gens, il utilisait un mot de passe unique généré de manière aléatoire pour son compte Vimeo.

Déconcerté, il tendit la main au Registre pour tenter de comprendre ce qui s'était passé. Les journalistes n'étaient pas plus sages, mais ils ont contacté Vimeo, et la plateforme de partage de vidéos a finalement révélé ce qui se passait vraiment. Un représentant a déclaré à The Register que l'équipe de sécurité de Vimeo avait trouvé "une liste de combinaisons de courriels et de mots de passe compromises capturées par des logiciels malveillants". La façon dont ils les ont trouvés reste inconnue, mais ils les ont vérifiés et ont réalisé qu'au moins une partie des données était valide. Pour protéger les utilisateurs, ils ont bloqué l'accès aux comptes concernés.

Il n'est pas clair à quel point les informations d'identification volées étaient facilement accessibles, mais il est sûr de dire que, quelles que soient les circonstances, geler les comptes était la bonne chose à faire. Cependant, ce qui n'est pas tout à fait clair, c'est pourquoi Vimeo l'a fait sans en informer les utilisateurs et le reste du monde. Même maintenant, après que l'histoire a trouvé son chemin vers le bulletin de nouvelles hebdomadaire de The Register, Vimeo n'a divulgué aucun détail spécifique par le biais des canaux d'information réguliers, ce qui signifie que certains utilisateurs pourraient encore ne pas être au courant de ce qui se passe. Ils ne savent peut-être pas non plus qu'ils doivent analyser leurs appareils contre les logiciels malveillants et modifier leurs mots de passe.

Des actions comme celle-ci sont censées renforcer la confiance des gens dans le fournisseur de services, mais lorsqu'elles ne sont pas correctement expliquées, elles peuvent avoir l'effet inverse. Espérons que nous continuerons à voir des plateformes en ligne prendre soin de leurs utilisateurs, et nous assisterons également à une gestion plus transparente des incidents de sécurité.