Gravité modéréeFuite vérifiée
Fuite de données Gravatar
113 990 759 comptes
Voici ce qui a fuité, ce que ça change pour vous et les gestes à faire.
Gravatar, c’est quoi ?
Gravatar est un service d’avatars : vous y associez une image à votre adresse email, et elle s’affiche automatiquement sur des milliers de blogs et de forums quand vous y commentez. Vous êtes potentiellement concerné même sans souvenir de l’avoir utilisé. Beaucoup de comptes ont été créés indirectement, en commentant sur un site qui s’appuie dessus.
Ce qui s’est passé
En octobre 2020, un chercheur en sécurité a publié une méthode permettant d’aspirer massivement les données publiques de Gravatar. Dans les mois qui ont suivi, 167 millions de noms, pseudonymes et adresses email sous forme brouillée ont été collectés et distribués dans les milieux du piratage.
Les adresses n’étaient pas exposées en clair mais sous une forme brouillée facile à défaire : 114 millions d’entre elles ont été retrouvées et diffusées avec les noms correspondants. Gravatar a publié une note explicative après que les adresses concernées sont devenues consultables dans le registre.
À noter : il ne s’agit pas d’une intrusion. Les informations étaient publiques par conception ; ce qui a changé, c’est leur mise en fichier à grande échelle.
Les données exposées
- adresses email
- noms
- noms d’utilisateur
Les personnes touchées ne sont pas forcément concernées par chaque catégorie.
Le niveau de risque
Gravité modérée : ni mot de passe ni donnée bancaire, mais des données personnelles durablement exploitables.
Aucun mot de passe n’est concerné : il n’y a rien à réinitialiser. Ce qui a fuité, c’est l’association entre votre adresse email et votre nom ou votre pseudonyme, précisément ce qu’il faut pour rédiger un message personnalisé, ou pour relier une identité en ligne à une adresse que vous pensiez discrète. Traitez donc avec méfiance les messages qui vous appellent par votre prénom sans que vous sachiez d’où ils sortent.
Que faire si vous êtes concerné
- Votre nom est potentiellement exposé. Il ne peut pas être effacé d’Internet : un message qui le cite ne prouve donc pas qu’il est sérieux.
- Des e-mails ou des SMS imitant Gravatar peuvent utiliser vos vraies informations pour paraître crédibles : c’est ce qu’on appelle le phishing.
- Par précaution, vous pouvez activer la double authentification sur votre boîte mail : c’est elle qui reçoit les liens « mot de passe oublié » de vos autres comptes.
Bon à savoir : vous pouvez signaler les tentatives d’arnaque : transférer les SMS frauduleux au 33700, signaler les e-mails sur signal-spam.fr et retrouver les bons réflexes sur cybermalveillance.gouv.fr.
Pour aller plus loin : Reconnaître les arnaques qui suivent une fuite · Mon adresse e-mail est dans une fuite : que faire ?