C’est une fuite massive de données qui alerte à nouveau sur les risques de cybersécurité à grande échelle. Un chercheur en sécurité, Jeremiah Fowler, a révélé la découverte d’une base de données non protégée contenant plus de 184 millions d’identifiants de connexion et mots de passe, dont ceux liés à des services parmi les plus utilisés au monde.
Une mine d’or pour les cybercriminels
La base de données, hébergée sur un serveur web non sécurisé, sans mot de passe ni chiffrement, contenait 47,42 Go de données brutes, accessibles à quiconque connaissait l’URL. Pour Jeremiah Fowler, la gravité de l’exposition est sans précédent : C’est la liste de travail rêvée pour un cybercriminel.
Parmi les données compromises figurent des e-mails, noms d’utilisateur, mots de passe en clair, ainsi que des liens directs vers les pages d’authentification de services en ligne. Certaines entrées donnaient également accès à des portails gouvernementaux, bancaires, de santé ou de services financiers, dans plusieurs pays, exposant potentiellement des millions de personnes à des risques de vol d’identité, de fraude ou d’usurpation de compte.
Parmi les services les plus touchés, les identifiants Apple figuraient clairement dans la base de données. Mais ils ne sont pas les seuls ! Fowler a également repéré des informations d’identification associées à : Google, Microsoft, Facebook / Instagram, PayPal, Amazon, Snapchat, Twitter (X), Yahoo, WordPress ou encore Discord. L’ampleur de la fuite est telle que le chercheur n’a pas été en mesure de recenser l’ensemble des services concernés.
Une origine suspectée : les malwares “infostealers”
Bien que le propriétaire de la base de données reste inconnu, Jeremiah Fowler estime que les données ont très probablement été collectées via des logiciels malveillants appelés infostealers. Ces programmes, souvent diffusés par phishing ou téléchargements piégés, sont conçus pour extraire silencieusement les informations sensibles stockées sur les appareils infectés : identifiants, cookies, tokens d’accès, etc.
Il a d’ailleurs pu vérifier l’authenticité de certaines informations en contactant quelques personnes figurant dans la base. Plusieurs lui ont confirmé que les mots de passe exposés étaient bien réels. Après avoir découvert la faille, Jeremiah Fowler a immédiatement contacté la société d’hébergement du serveur. Celle-ci a restreint l’accès à la base de données, mais n’a pas fourni d’informations sur l’identité du client ou la provenance des données.
L’épisode illustre une fois de plus la vulnérabilité de l’écosystème numérique, même lorsque les géants de la tech sont concernés. Si les entreprises comme Apple, Google ou Microsoft investissent massivement dans la sécurité, l’humain et les failles logicielles restent les portes d’entrée favorites des cyberattaquants.
Cette fuite géante souligne à quel point la menace des infostealers devient systémique. Même les identifiants liés à des services parmi les plus sécurisés peuvent finir entre de mauvaises mains, si les utilisateurs ne redoublent pas de vigilance.
