IdentifiantMot de passe
Loading...
Mot de passe oublié ?Je m'inscris ! (gratuit)
Navigation

Inscrivez-vous gratuitement
pour pouvoir participer, suivre les réponses en temps réel, voter pour les messages, poser vos propres questions et recevoir la newsletter

OVH Discussion :

OVH victime d’un piratage, le hacker aurait accédé à la base de données des clients d’Europe


Sujet :

OVH

  1. #1
    Responsable .NET

    Avatar de Hinault Romaric
    Homme Profil pro
    Consultant
    Inscrit en
    janvier 2007
    Messages
    4 570
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Cameroun

    Informations professionnelles :
    Activité : Consultant
    Secteur : High Tech - Éditeur de logiciels

    Informations forums :
    Inscription : janvier 2007
    Messages : 4 570
    Points : 252 332
    Points
    252 332
    Billets dans le blog
    118
    Par défaut OVH victime d’un piratage, le hacker aurait accédé à la base de données des clients d’Europe
    OVH victime d’un piratage, le hacker aurait accédé à la base de données des clients d’Europe
    l’hébergeur français se veut rassurant et renforce sa sécurité

    Les piratages informatiques s’enchaînent et OVH vient d’en faire les frais.

    Après l’intrusion sur les forums de la communauté d’Ubuntu, le piratage des données sur le site des développeurs d’Apple, c’est au tour de l’hébergeur français OVH de subir un hack des pirates.

    L’information a été annoncée par Octave Klaba, PDG d’OVH, dans un message sur la page de statuts des services. Un intrus aurait accédé aux systèmes de la société et copié la base de données des clients (environ 700 000) d’Europe. Cette base comporte le nom, le prénom, le NIC, l'adresse, la ville, le pays, le téléphone, le fax et le mot de passe chiffré des utilisateurs.

    « Le chiffrement du mot de passe est "salé" et basé sur SHA512, afin d'éviter le bruteforce. Il faut beaucoup de moyens techniques pour retrouver le mot de passe en clair. Mais c'est possible », rassure le PDG d’OVH qui note également que les informations sur les cartes bancaires ne sont pas concernées puisqu'elles ne sont pas stockées par son entreprise.



    Centre de données d'OVH, photo OVH

    Le pirate aurait compromis le système de la société en obtenant un accès sur un compte e-mail d’un de ses administrateurs système, ouvrant la porte à celui-ci au VPN interne d'un autre employé, ce qui l’aurait permis de se retrouver dans le backoffice interne d’OVH.


    Face à cette situation, des mesures ont été prises dans l’immédiat : les mots de passe de tous les employés ont été régénérés sur tous les types d'accès, un nouveau VPN a été mis en place dans une salle sécurisée PCI-DSS avec accès très restreints, la consultation des e-mails internes ne se fera désormais qu’à partir du bureau/VPN, tous les salariés passeront dorénavant sur 3 niveaux de vérification (IP source, mot de passe et token hardware personnel).

    « En un mot, nous n'avons pas été assez paranos et on passe désormais en mode parano supérieur. Le but est de garantir vos données et se prémunir contre l'espionnage industriel qui viserait les personnes travaillant chez OVH », écrit Octave Klaba.


    Comme il est de coutume dans ce cas de figure, l’hébergeur invite tous ses clients à réinitialiser leur mot de passe.


    Source : OVH


    Et vous ?

    Que pensez-vous cette série de piratage de plusieurs services ?

    Les nouvelles mesures de sécurité permettront-elles à OVH d’être à l’abri des pirates ?
    Vous souhaitez participer aux rubriques .NET ? Contactez-moi

    Si déboguer est l’art de corriger les bugs, alors programmer est l’art d’en faire
    Mon blog, Mes articles, Me suivre sur Twitter
    En posant correctement votre problème, on trouve la moitié de la solution

  2. #2
    Membre éprouvé
    Homme Profil pro
    R&D imagerie 3D / prog embarquée
    Inscrit en
    mars 2007
    Messages
    417
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Canada

    Informations professionnelles :
    Activité : R&D imagerie 3D / prog embarquée
    Secteur : Santé

    Informations forums :
    Inscription : mars 2007
    Messages : 417
    Points : 1 245
    Points
    1 245
    Par défaut
    Que pensez-vous cette série de piratage de plusieurs services ?

    Que je change mon MDP OVH tout de suite

  3. #3
    Membre confirmé
    Homme Profil pro
    Développeur informatique
    Inscrit en
    juillet 2009
    Messages
    353
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 40
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : Enseignement

    Informations forums :
    Inscription : juillet 2009
    Messages : 353
    Points : 587
    Points
    587
    Par défaut
    Citation Envoyé par Hinault Romaric Voir le message
    Comme il est de coutume dans ce cas de figure, l’hébergeur invite tous ses clients à réinitialiser leur mot de passe.
    Personnellement je n'ai pas été invité alors soit ils m'ont oublié soit ils n'ont pas prévenu leurs clients. Dans les deux cas, ce n'est pas professionnel du tout. A l'époque où Drupal avait rencontré des problèmes similaires, j'avais été prévenu avant de lire la news J'ai ouvert un ticket pour leur dire ma façon de pensée et j’invite les personnes n'ayant pas été prévenues à faire de même...

  4. #4
    Membre actif
    Profil pro
    Inscrit en
    mars 2006
    Messages
    164
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : mars 2006
    Messages : 164
    Points : 227
    Points
    227
    Par défaut
    Citation Envoyé par negstek Voir le message
    Personnellement je n'ai pas été invité alors soit ils m'ont oublié soit ils n'ont pas prévenu leurs clients.
    Peut être que cela ne concerne pas l'intégralité des clients.
    D'après le forum OVH il y en a qui en ont reçu et notamment les revendeurs qui ont plein de logins différents et qui ont donc été prévenus plusieurs fois.
    Il y a aussi la possibilité que les mails n'ont pas été envoyés tous en même temps, cela fait une sacrée quantité tout de même.

    Moi je n'ai pas reçu d'e-mail mais j'ai tout de même changé mon code.

    Edit : j'ai reçu leur mail.

  5. #5
    Membre régulier Avatar de Na_Kai
    Homme Profil pro
    Apprenti en Systèmes Informatiques et Logiciels Option Administration Réseaux et Services
    Inscrit en
    juin 2013
    Messages
    29
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Bas Rhin (Alsace)

    Informations professionnelles :
    Activité : Apprenti en Systèmes Informatiques et Logiciels Option Administration Réseaux et Services
    Secteur : High Tech - Matériel informatique

    Informations forums :
    Inscription : juin 2013
    Messages : 29
    Points : 78
    Points
    78
    Par défaut
    Que pensez-vous cette série de piratage de plusieurs services ?
    Il y a le black Hat et Defcon bientôt, ça en motivent certains à ce refaire un peu la main avant


    Les nouvelles mesures de sécurité permettront-elles à OVH d’être à l’abri des pirates ?
    Pendant un temps surement, comme toujours avec la sécurité il y en a toujours un qui arrivera à trouvé un moyen de contourné à un moment ou l'autre .

    Citation Envoyé par negstek
    Personnellement je n'ai pas été invité alors soit ils m'ont oublié soit ils n'ont pas prévenu leurs clients.
    Edit : Idem. Je viens à l'instant de recevoir leur mail

  6. #6
    Membre éprouvé
    Profil pro
    Inscrit en
    décembre 2004
    Messages
    581
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : décembre 2004
    Messages : 581
    Points : 1 092
    Points
    1 092
    Par défaut
    Ouais, un piratage de plus, ce n'est pas le dernier et ça va empirer.
    A ce propos : quel avenir pour l'internet si tout ce qu'on y met ou qu'on y fait, où que ce soit, dans quelques conditions que ce soit et dans quelque pays que ce soit, sera automatiquement et forcément piraté un jour ou l'autre ?
    L'avis publié ci-dessus est mien et ne reflète pas obligatoirement celui de mon entreprise.

  7. #7
    Membre éprouvé
    Homme Profil pro
    R&D imagerie 3D / prog embarquée
    Inscrit en
    mars 2007
    Messages
    417
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : Canada

    Informations professionnelles :
    Activité : R&D imagerie 3D / prog embarquée
    Secteur : Santé

    Informations forums :
    Inscription : mars 2007
    Messages : 417
    Points : 1 245
    Points
    1 245
    Par défaut
    Citation Envoyé par negstek Voir le message
    Personnellement je n'ai pas été invité alors soit ils m'ont oublié soit ils n'ont pas prévenu leurs clients. Dans les deux cas, ce n'est pas professionnel du tout.
    Perso, j'ai reçu le courriel suivant:
    Bonjour,
    Récemment, nous avons relevé un incident de securité sur notre réseau interne
    au siège social d'Ovh.
    Nous avons immédiatement sécurisé et enquêté sur l'incident. Nous avons
    relevé que la base de données des clients Europe aurait pu être illégalement
    copiée. Cette base comporte les données suivantes :
    le nom, le prénom, le nic, l'adresse, la ville, le pays, le téléphone, le
    fax et le mot de passe chiffré. Les informations sur les cartes bancaires ne
    sont pas concernées puisqu'elles ne sont pas stockées par OVH.

    Même si le chiffrement du mot de passe de votre identifiant est très fort,
    nous vous conseillons de changer le mot de passe dans les plus brefs délais.

    En savoir plus sur l'incident de securité:
    http://travaux.ovh.net/?do=details&id=8998
    Pour ceux que ça intéressent, il y a pas mal de détails sur l’incident dans le lien ci-dessus.

  8. #8
    Expert éminent sénior

    Homme Profil pro
    Développeur Web
    Inscrit en
    septembre 2010
    Messages
    5 276
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Localisation : France, Puy de Dôme (Auvergne)

    Informations professionnelles :
    Activité : Développeur Web
    Secteur : High Tech - Multimédia et Internet

    Informations forums :
    Inscription : septembre 2010
    Messages : 5 276
    Points : 10 127
    Points
    10 127
    Par défaut
    Citation Envoyé par Thorna Voir le message
    Ouais, un piratage de plus, ce n'est pas le dernier et ça va empirer.
    A ce propos : quel avenir pour l'internet si tout ce qu'on y met ou qu'on y fait, où que ce soit, dans quelques conditions que ce soit et dans quelque pays que ce soit, sera automatiquement et forcément piraté un jour ou l'autre ?
    Le tout c'est d'être réactif et d'avoir prévu les conséquences du hack. Il faut pas mal de temps pour trouver la correspondance d'un mot de passe hashé et salé, si bien qu'en changeant les mots de passe suffisamment rapidement les conséquences devraient être inexistantes pour la très grande majorité des utilisateurs qui sont à l'écoute du service technique. Par contre pour ceux qui ne regardent pas souvent leur courrier ou qui sont en vacances le pb peut devenir effectivement plus sérieux.

  9. #9
    Membre confirmé
    Homme Profil pro
    Développeur informatique
    Inscrit en
    juillet 2009
    Messages
    353
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 40
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : Enseignement

    Informations forums :
    Inscription : juillet 2009
    Messages : 353
    Points : 587
    Points
    587
    Par défaut
    Citation Envoyé par RaphAstronome Voir le message
    Moi je n'ai pas reçu d'e-mail mais j'ai tout de même changé mon code.
    Edit : j'ai reçu leur mail.
    Mail reçu trois quart d'heure après ouverture du ticket, comme quoi.

  10. #10
    Membre à l'essai
    Profil pro
    Inscrit en
    janvier 2009
    Messages
    24
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : janvier 2009
    Messages : 24
    Points : 22
    Points
    22
    Par défaut
    Jusque là, la sécurité interne se basait sur 2
    niveaux de vérification:
    - géographique: l'obligation d'être au bureau ou
    utiliser le VPN, l'ip source
    - personnel: le mot de passe
    A la lecture de la news il y a quelque chose qui m'étonne : ils utilisaient uniquement un système de login mot de passe comme sécurité ?

    Ils parlent bien d'une vérification de l'ip source mais comme l'ip source peut être le VPN qui n'a pas d'autre sécurité que login/mot de passe, ca ne rend pas le système plus sûr.

    Ils disent qu'ils n'étaient pas assez parano ils ne l'étaient pas du tout!
    Tout les boites que je connais utilisent une multi-factor authentication ( https://en.wikipedia.org/wiki/Multi-...authentication) . Pas mal de service internet s'y sont mis, les paiements bancaire aussi. Bref il y a presque qu'OVH qui n'en avait pas et surtout pour les comptes des admins je trouve ca impensable

    Vous avez compris ca comme moi ?

  11. #11
    Membre expert

    Développeur NTIC
    Inscrit en
    janvier 2011
    Messages
    1 670
    Détails du profil
    Informations personnelles :
    Âge : 31

    Informations professionnelles :
    Activité : Développeur NTIC
    Secteur : Biens de consommation

    Informations forums :
    Inscription : janvier 2011
    Messages : 1 670
    Points : 3 935
    Points
    3 935
    Par défaut
    Oui il n'y avait qu'un couple Login/ mot de passe. Mais bon, vu le mot de passe généré et le chiffrement il faut y aller pour le casser.

    La multi authentification c'est très récent (la preuve Twitter s'y est mis seulement cette année).

    edit: autant pour moi le mot de passe est choisi par l'utilisateur.
    L'homme est un fou pour l'homme. Toi qui viens de me mettre un aie au moins le courage d'expliquer pourquoi tu n'es pas d'accord.

  12. #12
    Membre confirmé
    Homme Profil pro
    Développeur informatique
    Inscrit en
    juillet 2009
    Messages
    353
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 40
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : Enseignement

    Informations forums :
    Inscription : juillet 2009
    Messages : 353
    Points : 587
    Points
    587
    Par défaut
    Citation Envoyé par Zweet Voir le message
    La multi authentification c'est très récent
    euh, pas vraiment ça a 10 ans(cf: ici)

    Citation Envoyé par Zweet Voir le message
    la preuve Twitter s'y est mis seulement cette année
    twitter c'est pas vraiment des données sensibles comparées à des milliers (ou bcp +?) de serveurs dédiés et mutualisés, d'entreprises, de boutiques en ligne, etc... donc ovh devrait s'y être mis depuis longtemps...

  13. #13
    Membre expert

    Développeur NTIC
    Inscrit en
    janvier 2011
    Messages
    1 670
    Détails du profil
    Informations personnelles :
    Âge : 31

    Informations professionnelles :
    Activité : Développeur NTIC
    Secteur : Biens de consommation

    Informations forums :
    Inscription : janvier 2011
    Messages : 1 670
    Points : 3 935
    Points
    3 935
    Par défaut
    Citation Envoyé par negstek Voir le message
    euh, pas vraiment ça a 10 ans(cf: ici)
    Je ne parle pas du principe mais de la mise en place qui se fait depuis quelques années seulement.

    Facebook et Twitter n'ont pas de données sensibles? Heu quand même ...
    L'homme est un fou pour l'homme. Toi qui viens de me mettre un aie au moins le courage d'expliquer pourquoi tu n'es pas d'accord.

  14. #14
    Membre confirmé
    Homme Profil pro
    Développeur informatique
    Inscrit en
    juillet 2009
    Messages
    353
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 40
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : Enseignement

    Informations forums :
    Inscription : juillet 2009
    Messages : 353
    Points : 587
    Points
    587
    Par défaut
    Citation Envoyé par Zweet Voir le message
    Je ne parle pas du principe mais de la mise en place qui se fait depuis quelques années seulement.
    pour le grand public peut-être mais dans le privé cette pratique est déjà bien raudée...

    Citation Envoyé par Zweet Voir le message
    Facebook et Twitter n'ont pas de données sensibles? Heu quand même ...
    Je n'ai jamais parlé de facebook ni toi dans ton post précédent. Je répondais juste à ton post (cf tes citations).

    Effectivement pour moi des tweets ne représente pas le même degré de sensibilité que des données liées à des transactions bancaires.

    Je préfère qu'on me hack mon "coucou depuis mon nvo S4" que mon numéro de carte bleue...

  15. #15
    Membre expert

    Développeur NTIC
    Inscrit en
    janvier 2011
    Messages
    1 670
    Détails du profil
    Informations personnelles :
    Âge : 31

    Informations professionnelles :
    Activité : Développeur NTIC
    Secteur : Biens de consommation

    Informations forums :
    Inscription : janvier 2011
    Messages : 1 670
    Points : 3 935
    Points
    3 935
    Par défaut
    Citation Envoyé par negstek Voir le message
    Je n'ai jamais parlé de facebook ni toi dans ton post précédent. Je répondais juste à ton post (cf tes citations).

    Effectivement pour moi des tweets ne représente pas le même degré de sensibilité que des données liées à des transactions bancaires.

    Je préfère qu'on me hack mon "coucou depuis mon nvo S4" que mon numéro de carte bleue...
    C'était sous entendu mais pas mentionné oui.

    La sensibilité n'est pas du tout la même effectivement. Mais les données restent quand même sensibles. Opinions politiques, personnelles, goûts et couleurs ça peut valoir autant qu'un numéro de carte bleue voir plus.

    Mais quand tu vois qu'une liste de numéros de carte bleue coûte 50€ sur le net, personne n'est à l'abri de se faire "hacker" sa carte bleue.
    L'homme est un fou pour l'homme. Toi qui viens de me mettre un aie au moins le courage d'expliquer pourquoi tu n'es pas d'accord.

  16. #16
    Membre confirmé
    Homme Profil pro
    Développeur informatique
    Inscrit en
    juillet 2009
    Messages
    353
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 40
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : Enseignement

    Informations forums :
    Inscription : juillet 2009
    Messages : 353
    Points : 587
    Points
    587
    Par défaut
    Citation Envoyé par Zweet Voir le message
    La sensibilité n'est pas du tout la même effectivement. Mais les données restent quand même sensibles. Opinions politiques, personnelles, goûts et couleurs ça peut valoir autant qu'un numéro de carte bleue voir plus.
    c'est clair que de se faire détrousser c'est moche et que nos opinions etc sont des parties de nous donc c'est jamais agréable.

    Citation Envoyé par Zweet Voir le message
    Mais quand tu vois qu'une liste de numéros de carte bleue coûte 50€ sur le net, personne n'est à l'abri de se faire "hacker" sa carte bleue.
    c'est bien le problème.

    C'est quand même aberrant que des services gratuits (gmail, twitter, etc...) destinés à tout un chacun soient mieux sécurisés que que des services payant destinés aux professionnels.

  17. #17
    Membre expert

    Développeur NTIC
    Inscrit en
    janvier 2011
    Messages
    1 670
    Détails du profil
    Informations personnelles :
    Âge : 31

    Informations professionnelles :
    Activité : Développeur NTIC
    Secteur : Biens de consommation

    Informations forums :
    Inscription : janvier 2011
    Messages : 1 670
    Points : 3 935
    Points
    3 935
    Par défaut
    Citation Envoyé par negstek Voir le message
    c'est clair que de se faire détrousser c'est moche et que nos opinions etc sont des parties de nous donc c'est jamais agréable.


    c'est bien le problème.

    C'est quand même aberrant que des services gratuits (gmail, twitter, etc...) destinés à tout un chacun soient mieux sécurisés que que des services payant destinés aux professionnels.
    Je pense surtout au fait qu'il est tellement facile de manipuler l'opinion des gens grâce à quelque chose sorti de son contexte et que donc, en utilisant des données personnelles il est extrêmement facile d'entacher la réputation de quelqu'un, de le faire souffrir, de le rançonner et de le pousser au suicide (cf le jeune breton avec la webcam ...) . De plus, la plupart des gens mettant n'importe quoi en ne pensant pas aux conséquences qu'il peut y avoir derrière aident encore plus à ce type de racket.
    L'homme est un fou pour l'homme. Toi qui viens de me mettre un aie au moins le courage d'expliquer pourquoi tu n'es pas d'accord.

  18. #18
    Membre à l'essai
    Profil pro
    Inscrit en
    janvier 2009
    Messages
    24
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : janvier 2009
    Messages : 24
    Points : 22
    Points
    22
    Par défaut
    Dans ma boite la multi-factor authentication se fait au moins depuis 4 ans (je peux pas remonter plus loin ) et c'est pour TOUT les employés pas seulement ceux qui ont accès a des données critiques/clients.
    En discutant avec mes potes qui bossent ailleurs ca se fait aussi chez eux, meme dans des petites structures (en meme temps c'est pas la mort a mettre en place!)

    J'avais confiance en OVH avant qu'ils n'expliquent leur ancienne politique de sécurité :s
    Reste a voir si c'est mieux ailleurs...

    J'aurais bien demandé des explications sur le forum d'OVH mais pas possible de s'y inscrire, même pour les clients (et ca depuis des mois ...)

  19. #19
    Membre confirmé
    Homme Profil pro
    Développeur informatique
    Inscrit en
    juillet 2009
    Messages
    353
    Détails du profil
    Informations personnelles :
    Sexe : Homme
    Âge : 40
    Localisation : France, Seine Maritime (Haute Normandie)

    Informations professionnelles :
    Activité : Développeur informatique
    Secteur : Enseignement

    Informations forums :
    Inscription : juillet 2009
    Messages : 353
    Points : 587
    Points
    587
    Par défaut
    Citation Envoyé par killersky4 Voir le message
    J'aurais bien demandé des explications sur le forum d'OVH mais pas possible de s'y inscrire, même pour les clients (et ca depuis des mois ...)
    tu peux peut-être faire ça sur le forum kimsufi c'est, je crois, les vieux serveurs OVH recyclé à moindre coup (mais ça reste chez OVH). J'ai trouvé le forum assez actif.

  20. #20
    Membre à l'essai
    Profil pro
    Inscrit en
    janvier 2009
    Messages
    24
    Détails du profil
    Informations personnelles :
    Localisation : France

    Informations forums :
    Inscription : janvier 2009
    Messages : 24
    Points : 22
    Points
    22
    Par défaut
    Merci je vais regarder ca (parmi mes produit chez OVH j'ai un dédié kimsufi)
    Vu les topic actuel du forum, je ne suis pas sur qu'un topic qui n'est pas directement lié a un kimsufi ne survive longtemps...

Discussions similaires

  1. Réponses: 15
    Dernier message: 03/06/2014, 19h56
  2. Réponses: 24
    Dernier message: 28/12/2011, 18h45
  3. La fondation Linux victime de piratage de ses serveurs
    Par Idelways dans le forum Actualités
    Réponses: 23
    Dernier message: 20/09/2011, 14h44
  4. Réponses: 0
    Dernier message: 24/06/2011, 15h50

Partager

Partager
  • Envoyer la discussion sur Viadeo
  • Envoyer la discussion sur Twitter
  • Envoyer la discussion sur Google
  • Envoyer la discussion sur Facebook
  • Envoyer la discussion sur Digg
  • Envoyer la discussion sur Delicious
  • Envoyer la discussion sur MySpace
  • Envoyer la discussion sur Yahoo