Je viens de recevoir un email disant qu'un de mes anciens comptes aurait peut-être été inclus dans une fuite de données d'il y a quelques années. Je ne suis même pas sûr sur quels sites j'avais utilisé ce mot de passe à l'époque. Y a-t-il un moyen de vérifier si mes vrais mots de passe traînent quelque part, ou je dois juste tout changer ?
Utilisez un service comme Have I Been Pwned pour vérifier si votre adresse e-mail ou votre nom d'utilisateur apparaît dans les failles connues. Allez sur le site, tapez votre adresse e-mail, et ça vous dira dans quelles failles votre compte est apparu. Ça n'expose pas votre vrai mot de passe - ça vous dit juste si cet e-mail faisait partie d'une faille qui a été documentée. Si votre e-mail s'affiche, vous savez que quelque chose s'est passé avec ce compte.
Le truc compliqué, c'est que les vrais mots de passe eux-mêmes ne circulent généralement pas publiquement dans des bases de données consultables. Ce qui s'expose lors des failles, ce sont généralement des mots de passe hachés, des versions brouillées qui sont plus difficiles (mais pas impossibles) à craquer. Donc vous ne trouverez pas votre mot de passe en clair quelque part dans la plupart des cas. Cela dit, si c'était une très vieille faille et que le hachage était faible, il y a une chance que quelqu'un l'ait cracké d'ici là - mais c'est pas quelque chose que vous pouvez facilement vérifier vous-même.
Le mieux à faire, c'est de changer tout de suite le mot de passe de ce compte, et si vous aviez réutilisé ce même mot de passe ailleurs, change-le aussi sur ces sites. C'est là qu'un gestionnaire de mots de passe devient vraiment utile si vous n'en avez pas - ça vous permet de générer et de suivre des mots de passe forts différents pour tout sans que votre cerveau n'explose en essayant de tous les retenir. Et à l'avenir, utiliser des mots de passe uniques par site signifie qu'une faille ne balance pas tous vos comptes en l'air.
Les services de notification de violation couvrent les adresses e-mail dans les bases de données compromises, mais voilà le truc - ils ne peuvent pas vraiment vous dire si votre mot de passe spécifique est là, juste que votre compte a été compromis. Ce qui compte plus, c'est si tu as réutilisé ce mot de passe ailleurs, parce que les attaquants vont tester les identifiants compromis sur plusieurs sites.
J'ai eu une vieille adresse e-mail prise dans une violation il y a des années et je l'ai effectivement trouvée sur ces sites de vérification, mais ce qui a vraiment aidé c'était de parcourir mon gestionnaire de mots de passe et de voir quels comptes utilisaient le même mot de passe. J'ai changé ceux-là en premier, puis j'ai fait le reste. Si tu ne te souviens pas quels sites utilisaient ce mot de passe, honnêtement ça vaut peut-être le coup de faire une réinitialisation complète sur n'importe quel compte important - les comptes qui ont des infos de paiement, l'accès de récupération e-mail, ce genre de choses. Les vrais mots de passe en texte clair ne sont presque jamais divulgués d'une manière utile pour les attaquants de toute façon; ce qui se vole habituellement ce sont des hachages, donc même si ton mot de passe est « là quelque part », le craquer demande de vrais efforts.
Ce que personne ne te dit vraiment, c'est que même si ton email apparaît dans une fuite, ton vrai mot de passe n'est presque jamais juste là, lisible. La plupart des sites font du hachage des mots de passe, ce qui veut dire qu'ils sont brouillés d'une manière super difficile à inverser. Donc quand tu reçois cette notification, ça veut généralement dire que ton email et ton nom d'utilisateur ont été divulgués, pas le mot de passe lui-même - à moins que le site ait vraiment fait n'importe quoi en matière de sécurité.
Cela dit, tu dois quand même le prendre au sérieux parce que les hackers vont essayer ton email + des mots de passe courants ou ceux d'autres fuites contre tes autres comptes. J'ai découvert l'année dernière qu'un vieux forum que j'avais utilisé il y a des années s'était fait pirater, et même si les vrais mots de passe n'avaient pas été exposés, quelqu'un a tenté de se connecter à mon email avec des identifiants divulgués d'un autre site. Je l'ai repéré grâce aux alertes de connexion, mais ça m'a vraiment secoué.
Voilà ce qui compte vraiment : si tu as utilisé ce mot de passe ailleurs, change-le d'abord sur ces comptes, en commençant par l'email et le truc bancaire. Après ça, oui, mets-le dans Have I Been Pwned comme les réponses précédentes l'ont mentionné - mais concentre-toi sur le côté email/nom d'utilisateur, pas sur essayer de vérifier si le mot de passe lui-même est dehors. À l'avenir, utilise juste un gestionnaire de mots de passe pour ne rien réutiliser, et tu n'auras pas à te torturer en te demandant quels sites ont eu quoi. Ça prend genre vingt minutes à mettre en place et ça t'épargne exactement ce genre de galère plus tard.
Une fois que vous avez vérifié ces bases de données de fuites et que vous savez quels comptes ont été touchés, il faut changer votre mot de passe sur ce site en premier, puis partout ailleurs où vous avez réutilisé le même mot de passe - ce qui explique probablement votre stress. La bonne nouvelle, c'est que même si la fuite incluait des hachages de mots de passe, ce ne sont pas juste des fichiers txt lisibles traînant quelque part ; le vrai risque, c'est si quelqu'un les passe dans un outil de craquage, mais ça prend du temps et des efforts pour les anciennes fuites. Ce qui compte vraiment, c'est si vous avez réutilisé ce mot de passe sur des trucs importants comme l'email ou le banking, puisque ceux-là sont ciblés en premier.
Se connecterpour répondre.
