Mercredi, un tribunal fédéral de Seattle a clos l'une des plus importantes fuites de données de mémoire récente. Connor Riley Moucka, 26 ans, de Kitchener, en Ontario, a plaidé coupable de fraude informatique, de fraude électronique, d'usurpation aggravée d'identité et de complot dans le cadre d'une campagne de piratage menée en 2024, qui a touché au moins 165 organisations et exposé les données d'au moins 100 millions de personnes. Il a personnellement empoché au moins 495 000 dollars grâce aux rançons et à la vente de données. La détermination de sa peine est prévue pour le 27 octobre et il encourt une peine minimale obligatoire de deux ans pour le seul chef d'accusation d'usurpation d'identité, ainsi qu'une peine pouvant aller jusqu'à 30 ans pour les autres chefs.

Ce sont les chiffres qui font les gros titres. Le détail qui mérite qu'on s'y attarde est plus modeste et beaucoup moins cinématographique : les procureurs affirment que ce qui a réellement permis à Moucka d'entrer, ce sont de vieux mots de passe. Pas une vulnérabilité zero-day. Pas une faille de la plateforme ciblée, que le ministère de la Justice n'a toujours pas nommée publiquement (Snowflake et la société de réponse aux incidents Mandiant ont indiqué eux-mêmes leur implication en 2024, reliant l'affaire à la vague de compromissions visant cette année-là les comptes de clients de Snowflake). Les identifiants avaient été récupérés des années plus tôt par un logiciel malveillant de type infostealer, étaient restés inutilisés et n'avaient pas été renouvelés, et ils ont déverrouillé des comptes sur lesquels l'authentification multifacteur se trouvait également désactivée.

Pourquoi le terme « non renouvelés » est essentiel dans cette phrase

Les logiciels malveillants de type infostealer constituent une catégorie de logiciels malveillants qui, une fois installés sur un appareil — souvent par l'intermédiaire d'une application piratée, d'une fausse mise à jour de navigateur ou d'une pièce jointe malveillante — siphonnent discrètement tous les identifiants présents dans les fonctions de remplissage automatique et les coffres de mots de passe enregistrés du navigateur de cette machine, puis les transmettent à l'opérateur du logiciel malveillant. Ce phénomène n'a rien de nouveau ni d'exotique ; il s'agit depuis des années d'un service criminel courant, avec des lots d'identifiants volés achetés et vendus en gros.

Ce qui fait de l'affaire Snowflake un bon exemple pédagogique, c'est l'écart entre le vol et l'utilisation. Ces mots de passe auraient été récupérés « des années plus tôt ». Cela signifie que pendant une longue période, les personnes qui possédaient ces comptes avaient un identifiant compromis toujours actif dans une base de données quelque part, et rien ne les obligeait à le modifier. Aucune tentative de connexion n'a été signalée comme suspecte, car l'attaquant n'essayait pas encore de se connecter. Aucune réinitialisation de mot de passe n'a été déclenchée, puisqu'il n'y avait aucun exploit actif que quiconque puisse remarquer. L'identifiant a simplement attendu, valide, jusqu'à ce que quelqu'un décide de l'utiliser à grande échelle contre les comptes des clients de Snowflake.

C'est le mode de défaillance que créent les mots de passe réutilisés et non renouvelés : ils ne sont pas forcément faibles — les logiciels malveillants de type infostealer récupèrent volontiers un mot de passe fort et unique, directement dans le coffre de mots de passe enregistrés d'un navigateur. Le problème est qu'un mot de passe volé n'a pas de date d'expiration, à moins qu'une personne ou une règle ne lui en attribue une. Une fuite datant de 2021 peut encore ouvrir des portes en 2024 si personne n'a jamais renouvelé l'identifiant entre-temps.

Le deuxième verrou qui n'était pas là

L'autre détail relevé par les procureurs — l'authentification multifacteur désactivée sur les comptes concernés — est ce qui a transformé un mot de passe volé en accès complet au compte. L'authentification multifacteur est conçue précisément pour ce scénario : elle part du principe que les mots de passe finiront par fuiter et ajoute une deuxième preuve d'identité (un code, une notification push, une clé matérielle) qu'un mot de passe volé ne peut pas fournir à lui seul. Lorsqu'elle est désactivée, un identifiant divulgué constitue toute la barrière. Les articles consacrés à la plus vaste vague de compromissions liée à Snowflake en 2024 ont relevé que de nombreux comptes concernés n'avaient pas l'authentification multifacteur activée par défaut, ce qui signifiait que ce réglage dépendait de l'activation volontaire par chaque organisation cliente.

Ce que cela signifie concrètement pour vous

La plupart des lecteurs de cette newsletter n'exploitent pas d'entrepôt de données Snowflake, mais les mécanismes en jeu ici s'appliquent à tous les comptes que vous détenez, où qu'ils soient :

  • Considérez les anciens mots de passe comme compromis, et pas seulement comme faibles. Si vous avez réutilisé un mot de passe sur plusieurs sites et ne l'avez pas modifié depuis, considérez-le comme compromis — non pas parce que quelqu'un l'a deviné, mais parce qu'il se trouve peut-être déjà dans une liste d'identifiants volés que vous ne verrez jamais.
  • Renouvelez vos identifiants après toute divulgation de fuite par un service que vous utilisez — même si l'on vous dit que votre compte spécifique « n'a pas été concerné ». Les premiers avis de fuite sont souvent incomplets, car les enquêtes se poursuivent.
  • Activez l'authentification multifacteur partout où elle est proposée, et ne supposez pas qu'un service l'active par défaut. Vérifiez directement les paramètres de sécurité du compte plutôt que de partir du principe que l'option la plus sûre est déjà active.
  • Un gestionnaire de mots de passe s'attaque à la cause profonde, et pas seulement au symptôme : il fait des mots de passe uniques et non réutilisés la solution la plus simple, au lieu d'en faire quelque chose dont vous devez vous souvenir.
  • Si un appareil a pu être infecté par un logiciel malveillant de type infostealer (un programme inconnu installé, un téléchargement piraté, une alerte de connexion suspecte), renouveler ensuite tous les mots de passe enregistrés — et pas seulement celui qui vous semble important — est le seul moyen de savoir qu'une ancienne infection ne continue pas à rapporter à celui qui a recueilli les données.

L'écart est la leçon à retenir

Il y a quelque chose de presque dérangeant dans le fait qu'une affaire d'une telle portée — une peine maximale encourue de 30 ans, une peine minimale obligatoire, les données de 100 millions de personnes — repose sur un mécanisme aussi banal. Pas de chaîne d'exploitation, pas de technique novatrice, simplement un mot de passe que personne n'a pris le temps de modifier et un réglage de sécurité que personne n'a activé. C'est précisément pour cela que cette affaire mérite d'être retenue une fois que les gros titres sur la condamnation se seront estompés : les plus importantes fuites de données n'ont généralement pas besoin d'un attaquant brillant. Il leur suffit d'un identifiant qui n'a jamais été renouvelé, sur un compte où l'authentification multifacteur n'a jamais été activée.