Incident de sécurité de Reddit en août 2018: ce que vous devez savoir

Reddit, l'un des sites Web les plus populaires au monde, a annoncé le 1er août 2018 qu'il était victime d'une faille de sécurité mettant en péril la sécurité de certaines données utilisateur.

La violation concerne principalement les Redditors présents sur le site depuis 2007 ou avant, mais même si vous avez créé votre compte ultérieurement, vous devez continuer à lire car il est possible que des informations soient toujours exposées.

Qu'est-il arrivé?

Entre le 14 et le 18 juin de cette année, Reddit a déclaré qu'un attaquant "avait compromis les comptes de quelques-uns de nos employés avec nos fournisseurs d'hébergement cloud et de code source". Bien qu'une authentification à deux facteurs ait été mise en place, elle l'a été par SMS et l'attaquant en question a été en mesure de capturer les codes à l'aide d'une attaque par interception de SMS.

L'attaquant n'a pas pu obtenir les autorisations d'écriture sur Reddit, mais il a réussi à obtenir un accès en lecture à certains systèmes de site.

Ce faisant, Reddit note que l’attaquant a obtenu:

Une copie complète d'une ancienne sauvegarde de base de données contenant les toutes premières données utilisateur Reddit - depuis le lancement du site en 2005 jusqu'à mai 2007.

Avec cette sauvegarde de base de données, les noms d'utilisateur, les mots de passe salés + hachés, les adresses électroniques, le contenu public et les messages privés ont été obtenus (uniquement si vous avez un compte Reddit entre 2005 et mai 2007).

De plus, l'attaquant a également acquis:

Journaux contenant les résumés des courriels que nous avons envoyés entre le 3 et le 17 juin 2018. Les résumés connectent un nom d'utilisateur à l'adresse de messagerie associée et contiennent les suggestions de messages de certains sous-titres populaires et sûrs pour le travail auxquels vous vous êtes abonné.

Que pouvez-vous faire pour vous protéger

Rien de tout cela n'est génial, mais heureusement, Reddit travaille déjà pour s'assurer que tous les utilisateurs potentiellement affectés sont protégés.

Si votre compte a été créé entre 2004 et mai 2007, Reddit envoie actuellement des MP / des courriers électroniques avec des instructions supplémentaires sur la procédure à suivre. En outre, tous les comptes qui étaient actifs pendant cette période sont obligés de réinitialiser leur mot de passe.

Même si Reddit ne vous oblige pas à réinitialiser votre mot de passe, il est quand même judicieux de s’assurer que toutes vos bases sont couvertes. Si vous n'utilisez pas encore de gestionnaire de mot de passe, il est temps de changer cela.

En outre, l’authentification à deux facteurs est quelque chose que tout le monde devrait utiliser maintenant. Et, si vous en avez la possibilité, utilisez-le toujours avec un système basé sur des jetons plutôt que par SMS.

Pourquoi vous (et votre famille) devriez utiliser 2FA et un gestionnaire de mot de passe