Un méga piratage des comptes Yahoo, faut-il paniquer?

Les utilisateurs de la messagerie Yahoo ont intérêt à changer de mot de passe
Les utilisateurs de la messagerie Yahoo ont intérêt à changer de mot de passe - © KAREN BLEIER - AFP

La firme Yahoo a reconnu que les messageries de 500 millions de ses utilisateurs ont été piratés. Un gros revers pour l'entreprise, au moment où elle négocie la revente de sa messagerie à Verizon, un opérateur téléphonique américain. Au lendemain de cette annonce, Yahoo a reculé à la bourse de New-York (-1,9 %). Entretien avec Jean-Jacques Quisquater, professeur de cryptologie à l'UCL (Université catholique de Louvain).

Yahoo reconnait avoir été victime d'une attaque informatique fin 2014, mais n'en parle que maintenant. Cela signifie- t- il qu'elle a caché l'information, ou qu'elle ne savait pas?

Jean-Jacques Quisquater : A mon avis, ils n'ont pas vu qu'ils ont été piratés. Quand le pirate a annoncé avoir ces 500 millions de comptes, ils ont dû regarder les traces et se rendre compte que c'était vrai. Le pirate lui peut facilement prouver son acte, il suffit qu'il envoie quelques comptes et Yahoo, avec ses informations en interne, peut établir les faits.

A-t-on une idée du nombre d'adresses mail Yahoo détenues par des Belges?

Jean-Jean Quisquater: Je ne dispose pas de cette information. Il ne doit pas y en avoir énormément. Yahoo était beaucoup utilisé dans le temps, il y a beaucoup moins d'utilisateurs aujourd'hui, et sans doute beaucoup de comptes dormants.

Yahoo parle de 500 millions de comptes affectés, c'est énorme?

Jean-Jacques Quisquater : Oui c'est énorme, c'est pratiquement l'ensemble des comptes de Yahoo. Yahoo a annoncé qu'il allait prévenir ses usagers, mais j'ai fait un petit sondage autour de moi, et personne ne semble avoir été averti. Soit ces personnes n'ont pas été piratées, soit Yahoo n'a pas averti tout le monde. La façon dont c'est traité me paraît bizarre. Yahoo est par ailleurs une société qui prend un maximum de précautions : elle emploie les systèmes les plus modernes, les plus sérieux pour protéger les mots de passe. Mais évidemment il n'y a pas que les données des mots de passe, il y a tout ce qui est autour, le nom de l'utilisateur, éventuellement même son adresse, son numéro de téléphone. Et puis, il y a aussi, même si Yahoo dit que cela n'a pas été affecté, les éventuels comptes bancaires.

Ce n'est pas le premier piratage massif d'une firme, mais dans ce cas-ci, Yahoo laisse entendre que le pirate est sans doute lié à un État étranger, on pense à la Chine, à la Russie...

Jean-Jacques Quisquater : En effet, le pirate anonyme affirme qu'il appartenait à un groupe. S'agit-il d'un groupe russe, d'un groupe chinois, c'est très vraisemblable. Mais la déclaration du piratage est sans doute une action personnelle, ou bien d'un petit groupe, mais certainement pas d'état. On pourrait peut-être voir cela comme le piratage d'un piratage.

En tous cas l'aveu de ce piratage intervient au moment où Yahoo négocie la revente de ses activités internet et de messagerie pour 4,8 milliards de dollars. Est-ce un acte de guerre commerciale?  

Jean-Jacques Quisquater : C'est peut-être une coïncidence, c'est peut-être cela. Mais cela tombe évidemment très mal pour eux. Il faudrait pouvoir comprendre pourquoi on veut mettre à mal la messagerie de Yahoo. Moi je ne vois pas de raison particulière.

En effet, quel sens cela a-t-il de pirater cette messagerie?

Jean-Jacques Quiquater : Il faut bien voir que ce genre de pirates agissent de manière relativement indistincte. Ce qu'ils visent, c'est de revendre les mots de passe de façon groupée. La principale motivation, c'est l'argent. Et puis il peut aussi y avoir pour le hacker la fierté de pouvoir dire : "j'ai piraté Yahoo, ou Apple", ce qui établit une hiérarchie parmi les pirates. Mais la plus grosse motivation, dans ce cas-ci comme dans d'autres, c'est l'argent. Comme je l'ai dit, il n'est pas impossible que le piratage émane d'un Etat, qui lui-même aurait été piraté par une personne ou un groupe animé par l'appât du gain.

Faut-il paniquer?

Jean-Jacques Quisquater : Non, mais il faut prendre certaines précautions. Les gens qui ont un compte Yahoo et qui l’utilisent doivent absolument changer leur mot de passe. Ceux qui ont un compte Yahoo mais ne l’utilisaient plus doivent essayer de se souvenir de leur mot de passe. Et s'ils l'ont gardé pour d'autres comptes ou messageries, le changer. C'est bien le grand danger de ces énormes fichiers de mots de passe, où, avec un seul mot de passe, vous allez avoir accès à plein d'autres sites de la personne, et peut-être des sites plus sensibles, comme des comptes bancaires ou Paypal par exemple.

Newsletter info

Recevez chaque matin l’essentiel de l'actualité.

OK