La lumière commence à se faire sur l’affaire des mots de passe Hotmail publiés sur Internet. Il s’agirait  d’une opération de phishing qui touche aussi les services webmail de Google, Yahoo, AOL, Comcast et Earthlink.

De 10 000 à 30 000 mots de passe et ce n’est pas fini

La BBC rapporte qu’elle a pu voir deux listes contenant en tout plus de 30 000 noms d’utilisateurs et mots de passe. L’attaque est donc bien plus grave que ce nous pensions initialement (cf. « Hotmail : des milliers de mots de passe dans la nature ! »).

Google affirme que moins de ses 500 identifiants ont été compromis et qu’il a déjà pris les mesures nécessaires pour protéger les comptes affectés. La firme a aussi révélé qu’elle avait mis la main sur une troisième liste, mais a refusé de donner plus d’information à ce sujet.

Il faut éduquer le public

Il est intéressant de voir que les attaques n’ont pas tenté de faire plier les serveurs de ces entreprises, mais de tromper les utilisateurs à révéler leurs informations en fabriquant des sites qui ressemblent aux originaux. Ces techniques peuvent néanmoins être facilement contournées (l’URL en haut de la page ne commence pas par le bon nom de domaine, l’accès sur ces sites se fait à partir d’un email douteux, etc.). Cela montre qu’il est aujourd’hui plus profitable de s’appuyer sur le manque de connaissance des Internautes que les failles de sécurités des infrastructures webmails.

Parmi les 30 000 entrées, quelques adresses étaient vieilles, inutilisées ou fausses, mais beaucoup étaient bien réelles et l’utilisation de ces mots de passe pourrait causer de sérieux dégâts.