Discussion :

[Mattsou]

Bonjour à tous,

Je suis quelqu'un de plutôt vigilant en général, étant dans l'informatique depuis toujours, mais j'ai dû manquer de vigilance il y a quelques mois.

Un pirate est parvenu à récupérer tous mes mots de passe et, j'imagine, mes cookies de connexion.

J'utilise le gestionnaire 1Password et j'ai activé la double authentification sur la plupart des sites grâce à ma clé YubiKey.

Cependant, depuis des mois, des personnes se connectent à mes comptes : réseaux sociaux, applications diverses, et même mes cartes de fidélité (McDonald's, Carrefour) ont été piratées.

Je n'arrive pas à comprendre comment ce pirate parvient à se connecter sans que j'en sois informé. En effet, lorsque j'essaie moi-même de me connecter, je reçois généralement un code par e-mail ou par SMS, ainsi qu'une demande de confirmation via ma YubiKey. Pourtant, le pirate, lui, se connecte sans même être détecté par les sites ou les applications, et il n'apparaît pas dans la liste des appareils connectés.

Je n'ai jamais vu cela et cela persiste depuis des mois...

Comment puis-je espérer m'en débarrasser ? Entre-temps, j'ai vendu mon ordinateur.

Au plaisir de vous lire et merci.

[Artemus24]

Salut Mattsou et bienvenue dans le forum Developpez.net.

Un pirate est parvenu à récupérer tous mes mots de passe et, j'imagine, mes cookies de connexion.

Comment savez vous que vous avez été piraté ? Il faudrait quelques explications à ce sujet.

Je n'arrive pas à comprendre comment ce pirate parvient à se connecter sans que j'en sois informé. En effet, lorsque j'essaie moi-même de me connecter, je reçois généralement un code par e-mail ou par SMS, ainsi qu'une demande de confirmation via ma YubiKey. Pourtant, le pirate, lui, se connecte sans même être détecté par les sites ou les applications, et il n'apparaît pas dans la liste des appareils connectés.

Si vous ne recevez aucune alerte, mon idée principale est que ce pirate a pris le contrôle de votre boite aux lettres, mais ce n'est pas certain.

Il se peut que le pirate :
utilise un jeton de session volé.
fasse une synchronisation vis une API.
utilise un appareil déjà considéré comme "de confiance" par le service.

Question : Quels sont les services sur lesquels vous constatez encore aujourd'hui une activité frauduleuse, et comment cette activité se manifeste-t-elle à vous ?

[Mattsou]

Bonjour Artemus24,

Merci beaucoup

Comment est-ce que je sais que j’ai été piraté ? Voici quelques exemples :

* Sur les réseaux sociaux, comme Facebook : le même message avec les mêmes photos a été envoyé à tous mes contacts, ainsi qu’à des personnes que j’ai en amis ou que j’ai eues en amis. Cela concerne également des pages Facebook.
* Un autre exemple via Discord : là encore, le pirate a envoyé les mêmes photos dans des serveurs ainsi qu’en messages privés.
* Ma carte bancaire a également été piratée.
* Ma carte de fidélité Carrefour a été bloquée.
* Une commande Uber Eats a été livrée à Paris alors que j’habite plutôt dans le sud de la France…

Je constate encore aujourd’hui des activités inhabituelles sur TikTok, par exemple, où une personne publie des vidéos sur mon compte.
Mon compte Trustpilot a également été piraté, tout comme mon compte Vinted…

Et encore une fois, tout cela s’est produit sans même être alerté par SMS ou par un autre moyen lors d’une tentative de connexion.

[Artemus24]

Vu l'ampleur de ce que ton pirate fait, je suppose qu'il a un accès privilégié.

Souvent le cœur même d'un piratage est ton adresse e-mail.
as tu changé tous tes mot de passe ?
as tu vérifié tes adresses de récupération associées ?
vois tu des connexions inconnues dans l'historique de sécurité ?
Il faut tout vérifier et supprimer ce qui ne sert plus à rien ou douteux.

Ou bien par ton téléphone. Si tu reçois des SMS, tes courriels, sert à valider tes connexions, stocke les sessions actives ...

Les méthodes de récupérations :
As tu une adresse e-mail secondaire ?
codes de secours ;
numéro de téléphone ;
appareil de confiance enregistré avant la mise en place de la YubiKey.

As tu changé le mot de passe de 1Password après le début de tes incidents ?
Je n'aime pas du tout ce genre d'outil. J'ai testé "comodo internet security" et je ne comprenais pas pourquoi j'avais besoin d'internet pour qu'il fonctionne. Il gère le pare-feu en remplacement de celui de Windows et stocke aussi les mots de passe. En principe, cet outil est local et n'a aucune raison d'avoir un accès à l'internet. Je me suis dit que la société américaine avait accès à distance à mon ordinateur. Donc aucune sécurité.

Pour les mots de passe, j'utilise le navigateur Google Chrome. A priori, aucun problème. Il faut dire que je n'ai rien de compromettant.

Quelques suggestions à faire :
Sécuriser l'adresse e-mail principale avant tout.
Vérifier les règles de transfert et les adresses de récupération.
Révoquer toutes les sessions actives sur chaque service.
Changer le mot de passe maître 1Password.
Régénérer les codes de récupération.
Vérifier l'historique des connexions sur Google, Microsoft, Apple, Facebook, Discord, etc.
Contrôler le téléphone aussi sérieusement que l'ancien PC.
Consulter les journaux de sécurité des comptes encore compromis.

En gros, il faut passer tout en revue.

[Mattsou]

Effectivement, il va falloir que je rechecke tout de zéro...

Je vais finir par faire comme ma grand-mère : le bon vieux carnet de mots de passe dans le tiroir du salon...

J'ai en effet vérifié, via différents services, si des appareils étaient connectés, mais seuls les miens apparaissent. Pas de périphérique douteux à priori...

Pas d'adresse e-mail de récupération modifiée non plus sur mon compte. Je crois même que, de tous les services, seul Gmail reste, pour le moment, intact ou, en tout cas, rien de louche en vue.

Merci d'avoir pris le temps de m'aider, c'est très apprécié.

[Christophe]

L'accès 1password ne serait il pas compromis ?
Tu peux aussi avoir un RAT installé sur le poste permettant à un pirate d'utiliser ton ordi comme toi sans que tu t'en rendes compte.