Domicile > Le piratage >

L’énorme plate-forme de scanlation MangaDex indique qu’à la suite d’un piratage en mars, sa base de données est désormais confirmée comme étant « à l’état sauvage ». Les noms d’utilisateur, les adresses e-mail et les données d’adresse IP étant désormais potentiellement connus du public, les utilisateurs sont assurés que le site fait tout ce qu’il peut pour atténuer la violation, notamment en travaillant avec la plate-forme de violation de données de premier plan Have I Been Pwned.

Jusqu’à récemment, la plate-forme de scanlation MangaDex était en plein essor en tant que véritable géant du monde des mangas. Servant des dizaines de millions de visiteurs chaque mois, le site hébergeait une base de fans dédiée.

Le 17 mars, cependant, le site a été la cible d’une attaque malveillante qui a vu un tiers non identifié obtenir un accès non autorisé à un compte administrateur en utilisant des informations trouvées dans une fuite de base de données antérieure. Cette attaque a été suivie trois jours plus tard, utilisant un compte de développeur pour infliger des dégâts supplémentaires.

Plutôt que d’essayer de patcher tous les vecteurs d’attaque possibles, MangaDex a pris la décision de se fermer et de continuer à travailler sur une nouvelle version du site. Pendant ce temps, l’acteur malveillant a exigé 10000 dollars en bitcoins, un montant que les opérateurs du site ont refusé de payer.

Base de données complète du site entre les mains de mauvais acteurs

Comme indiqué précédemment, MangaDex a agi de manière responsable en informant régulièrement les utilisateurs des retombées du piratage, y compris les risques potentiels et la manière de les minimiser. Le mois dernier, les opérateurs ont indiqué qu’il n’y avait aucune preuve d’une violation récente de la base de données, mais ont dit aux utilisateurs de s’attendre au pire, en leur conseillant de changer les mots de passe sur tous les comptes qui pourraient partager le même mot de passe que leur compte MangaDex.

Malheureusement, de nouvelles informations publiées cette semaine indiquent que le pire des cas de fuite de base de données complète est maintenant devenu réalité.

« [W]Nous avons identifié de manière positive la fuite de la base de données dans la nature, comme nous l’avions craint. Cela signifie que votre nom d’utilisateur, votre e-mail, votre adresse IP et vos mots de passe hachés de manière sécurisée sont désormais potentiellement connus du public », préviennent les opérateurs de MangaDex.

« Si vous ne l’avez pas encore fait, nous vous conseillons vivement de modifier vos informations d’identification sur tout site que vous avez partagé avec MangaDex. »

Les dernières informations obtenues par MangaDex indiquent que la base de données n’a pas encore atteint son maximum d’exposition car elle est actuellement «partagée en privé». Cependant, MangaDex avertit que ces groupes ont «de mauvaises intentions contre MangaDex et ont choisi d’être complices de la violation en se taisant à ce sujet, probablement pour des raisons contraires à l’éthique».

L’identité de ces tiers n’est pas divulguée, mais MangaDex craint que les données ne soient finalement partagées plus largement.

«Nous ne savons pas combien de personnes ont la main sur les données, ni depuis combien de temps elles les ont, mais nous nous attendons à ce que les parties responsables aggravent la situation peu de temps après en publiant les données sous une forme ou une autre», préviennent-ils.

MangaDex travaille avec ‘Ai-je été Pwned?’

Ai-je été pwned? (HIBP) est un site Web qui permet aux internautes de vérifier si leurs données personnelles ont été divulguées en ligne à la suite d’une violation de données. Au moment de la rédaction de cet article, le site contient des informations sur les violations sur 521 sites Web, soit un nombre impressionnant de 11 145 906 797 comptes, dont 590,4 millions concernent des violations de Facebook. Par courtoisie envers ses utilisateurs, MangaDex dit qu’il travaille maintenant avec HIBP.

«Nous travaillons actuellement avec HIBP (https://haveibeenpwned.com/) pour que les comptes concernés soient ajoutés et notifiés, et prévoyons de trouver un moyen de notifier correctement toutes les personnes concernées par e-mail», explique MangaDex.

Bien que le site présente également des excuses à ses utilisateurs pour la violation, il convient de noter que suite à une violation de données sur Facebook, la société n’a pas personnellement contacté les utilisateurs concernés. Cela montre qu’il existe des normes différentes en ce qui concerne le traitement des données de compte compromises et que MangaDex fait au moins ce qu’il peut pour éviter des dommages supplémentaires.

Comme indiqué plus tôt ce mois-ci, MangaDex a également pris des mesures sur Github pour empêcher la diffusion de son code.