Sur le Dark Web, un pirate vient de publier un fichier texte contenant environ 10 milliards de mots de passe dérobés aux utilisateurs. Il est urgent de vérifier si les vôtres en font partie afin de les modifier le cas échéant.

2024 est décidément l'année des records dont on se passerait bien. Surtout en matière de cybersécurité. Rappelez-vous, dès le mois de janvier, nous apprenions l'existence de la MOAB, pour Mother Of All Breaches, une fuite de 26 milliards de données piratées affichant un poids de 12 To. Pour le moment, elle n'a heureusement pas été détrônée, mais dans une autre catégorie, il faut désormais compter sur une nouvelle championne : la liste RockYou2024.

Sur un forum du Dark Web, l'utilisateur nommé ObamaCare poste le message suivant : “Je vous présente une nouvelle liste de mots de passe rockyou2024 avec plus de 9.9 milliards de mots de passe ! J'ai mis à jour [la liste] rockyou2021 avec de nouvelles données collectées à partir de bases de données ayant fait l'objet de fuites dans divers forums au cours de cette année et d'années passées. J'ai également cracké quelques anciens mots de passe avec ma nouvelle [carte graphique Nvidia] 4090. Cette liste contient de nouveaux mots de passe réels d'utilisateurs“.

Vous avez bien lu : le fichier texte posté par l'internaute contient près de 10 milliards de mots de passe piratés, et désormais tous les hackers y ont potentiellement accès. La liste RockYou2021 à laquelle il fait référence contenait à l'époque 8,4 milliards de sésames. C'est donc une augmentation d'environ 15 % en 3 ans.

Un pirate publie une liste de 10 milliards de mots de passe volés, elle est visible sur le Dark Web

Il est facile d'imaginer ce que des personnes malveillantes pourraient faire avec ces informations. Par exemple  “mener des attaques par force brute et obtenir un accès non autorisé à divers comptes en ligne utilisés par des personnes qui emploient des mots de passe figurant [dans la liste]”, explique les chercheurs de Cybernews, à l'origine de la découverte.

Mais ce n'est pas tout : “[…] combiné à d'autres bases de données ayant fait l'objet de fuites sur des forums de pirates […], qui contiennent par exemple des adresses électroniques d'utilisateurs et d'autres informations d'identification, RockYou2024 peut contribuer à une cascade d'atteintes à la protection des données, de fraudes financières et d'usurpations d'identité“.

Lire aussi – Les mots de passe longs sont-ils vraiment efficaces contre les cyberattaques ?

Les experts estiment que tous les systèmes non protégés contre les attaques de type force brute sont en danger. Pour rappel, il s'agit d'une technique consistant à tester différentes combinaisons (ici d'adresses mail et de mots de passe) jusqu'à tomber sur la bonne. Services en ligne ou hors ligne, caméras de surveillance, matériel industriel… Les cibles sont nombreuses et le risque est réel. D'autant qu'il est international. “En substance, la fuite RockYou2024 est une compilation de mots de passe réels utilisés par des individus du monde entier“, résume Cybernews.

Comment savoir si vos mots de passe sont sur la liste RockYou2024 et que faire si c'est le cas

Même s'il n'y a pas de méthode miracle, la solution la plus sûre est d'utiliser le service Password leak checker disponible gratuitement en cliquant sur le bouton à la fin de cet article. L'outil créé par Cybernews a été mis à jour pour inclure l'ensemble des données contenues dans RockYou2024.

Si le résultat est positif, changez immédiatement le mot de passe concerné et, autant que possible, utilisez un gestionnaire de mot de passe afin de ne pas réutiliser le même sur différents sites. Activez également l'authentification à deux facteurs chaque fois qu'elle est proposée ou, mieux, les passkeys.

Méfiez-vous également des mails et messages que vous pourriez recevoir dans les prochaines semaines. Ils pourraient provenir de pirates ayant pris le contrôle de comptes appartenant à vos amis, votre famille ou vos collègues de travail. Comme d'habitude avec ce genre d'actualité, n'hésitez pas à en parler autour de vous. Surtout si vous connaissez des personnes qui ont de mauvaises habitudes en matière de cybersécurité, plus susceptibles d'avoir été piratées.

Vérifiez si votre mot de passe a été piraté