2 millions d'identifiants à des réseaux sociaux (Facebook, LinkedIn et Twitter) ont été retrouvés sur un serveur localisé aux Pays-Bas.

Cette semaine, les chercheurs en sécurité de  Trustwave ont découvert un serveur Web situé aux Pays Bas  qui contenait près de deux millions de comptes volés avec noms d'utilisateur et mots de passe à des réseaux sociaux tels que Facebook, Twitter, LinkedIn, Google et Yahoo.

ADP, leader de la gestion de la paie et des ressources humaines, a annoncé qu'il avait procédé à la réinitialisation des mots de passe de 2 400 clients. « À notre connaissance, aucun client d'ADP n'a été affecté par ce vol d'identifiants », a déclaré le fournisseur dans un communiqué.

Facebook, LinkedIn et Twitter ont également réinitialisé les comptes de certains de leurs utilisateurs.

Rappelons que le « phishing » ou « hameçonnage » consiste à inciter les gens à divulguer leurs identifiants de connexion ou à installer des logiciels malveillants.

 Les informations d'identification récoltées sont ensuite transmises à l'attaquant.

En début de semaine, Trustwave a déclaré que son groupe de recherche et de sécurité était parvenu à se connecter en mode administrateur à un panneau de contrôle lié au serveur incriminé. Il faisait partie d'un botnet du nom de « Pony ». Le réseau aurait récolté des informations utilisateurs sensibles dans au moins de 102 pays.

La modification des mots de passe indispensable

Facebook dit avoir réinitialisé les mots de passe des comptes affectés. « Même si on ne sait pas encore en détail ce qui s'est passé, nous pensons que les pirates ont ciblé les ordinateurs des utilisateurs à l'aide de logiciels malveillants pour extraire des données directement depuis leur navigateur Internet », a déclaré le réseau social dans un communiqué.

Facebook indique que les utilisateurs peuvent activer les deux fonctionnalités « Login Approvals » ou « Approbation de Connexion » et « Login Notifications » ou « Notifications de Connexion » leur permettant de savoir si leur compte a été consulté à partir d'un autre navigateur web. La procédure fonctionne avec un mot de passe unique envoyé sur leur téléphone mobile. Il leur permet d'accéder au site.

LinkedIn a invalidé les informations d'identification qui correspondaient à celles découvertes par Trustwave :

 « Nous avons déjà travaillé avec SpiderLabs pour réinitialiser les mots de passe des comptes LinkedIn dont les identifiants apparaissaient sur la liste », a déclaré un porte-parole du réseau social professionnel.

Twitter en a fait de même sur certains comptes après la communication de la société de sécurité.