Fuite de données Spoutible

Spoutible, c’est quoi ?

Spoutible est un réseau social lancé comme alternative à Twitter. Vous êtes potentiellement concerné si vous y avez créé un compte. Cette fuite a une particularité grave : elle a exposé ce qui protège normalement le compte même quand le mot de passe est connu.

Ce qui s’est passé

En janvier 2024, 207 000 fiches ont été aspirées depuis une interface de programmation mal configurée de Spoutible, qui renvoyait par inadvertance bien trop d’informations personnelles.

Les données comprennent les noms, les pseudonymes, les adresses email et IP, les numéros de téléphone lorsqu’ils avaient été fournis, les genres et les mots de passe, bien protégés.

L’incident a également exposé les secrets de double authentification, les codes de secours et les jetons de réinitialisation de mot de passe.

Les données exposées

• mots de passe
• adresses IP
• numéros de téléphone
• adresses email
• genres
• noms
• noms d’utilisateur

Les personnes touchées ne sont pas forcément concernées par chaque catégorie.

Le niveau de risque

Gravité élevée : la fuite contient des mots de passe.

C’est l’une des fuites les plus techniques du registre, et l’une des plus sérieuses pour qui a un compte. La double authentification protège normalement un compte même si le mot de passe est connu : le code change toutes les trente secondes, calculé à partir d’un secret que seuls vous et le service connaissez. Ici, ce secret a fuité. Quiconque le détient peut générer les mêmes codes que votre téléphone. La protection est contournée sans effort. S’y ajoutent les codes de secours et les jetons de réinitialisation, qui permettent l’un et l’autre d’entrer sans mot de passe. Le geste n’est donc pas de changer le mot de passe, il est de désactiver puis réactiver la double authentification pour obtenir un nouveau secret, et de régénérer les codes de secours. Les mots de passe, bien protégés, ont probablement tenu ; ce n’est pas eux qui ouvrent la porte ici. Si vous aviez le même secret 2FA importé ailleurs (c’est rare, mais possible), faites de même là-bas.

Que faire si vous êtes concerné

1. Si vous avez un compte sur Spoutible (spoutible.com), pensez à changer votre mot de passe.
2. Si vous utilisiez le même mot de passe ailleurs, le plus important est de le changer partout.
3. Par précaution, vous pouvez activer la double authentification sur votre boîte mail et vos comptes sensibles.
4. Votre numéro de téléphone est potentiellement exposé. Vous pourriez recevoir des SMS ou des appels qui semblent vous connaître.
5. Votre nom est potentiellement exposé. Il ne peut pas être effacé d’Internet : un message qui le cite ne prouve donc pas qu’il est sérieux.

Bon à savoir : vous pouvez signaler les tentatives d’arnaque : transférer les SMS frauduleux au 33700, signaler les e-mails sur signal-spam.fr et retrouver les bons réflexes sur cybermalveillance.gouv.fr.

Pour aller plus loin : Mon mot de passe est compromis : que faire ? · Mon numéro de téléphone a fuité · Reconnaître les arnaques qui suivent une fuite