Pression pour les mots de pass Skyrock

25 05 2010


La plateforme Waka a servi de rampe de lancement à une attaque informatique contre Skyrock, a affirmé ce week-end le site Zataz. Tout est parti d’un fichier « coucou » et de scripts découverts sur les serveurs de Skyrock, lesquels ont motivé le lancement d’un audit complet par les équipes techniques du site, affirme Damien Bancal. « Il est alors découvert qu’une intrusion a été orchestrée à partir d’une backdoor téléchargée via un service mal configuré (Waka) de « Download » » poursuit Zataz.com.

skyrock piratage tentative intrusion

« A partir de cette installation malveillante, le ou les pirates ont très certainement pu mettre la main sur plus de 32.000.000 de comptes de skyblogueurs. Il semble que l’intrus sera difficile à remonter. Il a écrasé les logs à la suite de son passage. Un ip apparait cependant, il aboutit dans un proxy, basé en Angleterre. »

Sur Skyrock, un message laconique confirme que « comme la plupart des grands sites, Skyrock.com est régulièrement la cible d’attaques malveillantes. Nous avons constaté en début de semaine une tentative d’intrusion. La meilleure protection contre tout piratage de ton compte est le changement régulier de ton mot de passe. Si tu ne l’as pas fait depuis longtemps, pense à le faire maintenant, via ton tableau de bord – onglet mon compte ». Cette tentative d’intrusion est datée du 19 mai dernier.

Personne ne sait si Waka est concerné

Mais au Monde et aux autres sites qui avaient rapporté ces faits en ces termes, l’équipe se veut très rassurante : d’un, il n’y a « à ce stade aucune certitude sur l’éventuelle action de l’intrus » assure Jérôme Aguesse, responsable de la prévention et de la sécurité du site, de plus, « on ne peut déterminer à ce stade si l’application « Waka » était concernée ».

L’historique des mots de passe conservé en clair

Le site a cependant demandé à ses habitués de changer de mot de passe, à titre préventif. Sur cette politique de gestion des mots de passe, Jérôme Aguesse précise encore : « nous conservons dans une base protégée un historique des mots de passe en clair afin, d’une part, d’assister les utilisateurs lors des vols de mots de passe et, d’autre part, de pouvoir restituer leur mot de passe aux utilisateurs qui le demandent et dont les emails d’inscription ne sont plus valides ».

Skyrock devrait évidemment déposer une plainte : « Les autorités judiciaires ont été informées en vue d’une plainte ». Et la plateforme de préciser que « La CNIL a contrôlé skyrock.com en octobre 2008 et n’a fait aucune remarque sur nos procédures de sécurité ». Une réponse à Zataz qui affirmait que « la Commission Nationale Informatique et Liberté (CNIL) avait rendu visite à Skyrock pour un contrôle. Il avait été constaté, à l’époque, que les mots de passe des blogueurs étaient stockés sans être chiffrés. Nous avons eu confirmation que le chiffrement n’avait pas encore été effectué en ce mois de mai ».

Publicités

Actions

Information

Laisser un commentaire

Entrez vos coordonnées ci-dessous ou cliquez sur une icône pour vous connecter:

Logo WordPress.com

Vous commentez à l'aide de votre compte WordPress.com. Déconnexion / Changer )

Image Twitter

Vous commentez à l'aide de votre compte Twitter. Déconnexion / Changer )

Photo Facebook

Vous commentez à l'aide de votre compte Facebook. Déconnexion / Changer )

Photo Google+

Vous commentez à l'aide de votre compte Google+. Déconnexion / Changer )

Connexion à %s




%d blogueurs aiment cette page :