Le samedi 20 juillet dernier, à 20h10 UTC, l’équipe en charge du forum s’est vue informée qu’un défaçage s’est produit sur Ubuntuforums. Un défaçage (defacing en anglais) est une technique de piratage consistant à modifier ou remplacer une ou des pages d’un site Web par un contenu indésirable.
Canonical a bloqué l’accès au forum à partir de 20h15 UTC, remplacée par une page d’annonce. Entre temps, les attaquants ont quand même pu récolter l’identifiant, le mot de passe (plutôt, sa somme MD5 avec un sel) et l’adresse de courrier électronique de 1,8 millions de comptes.
Le piratage ne concerne que le forum Ubuntuforums. Les autres services de Canonical et de la communauté Ubuntu (Ubuntu One, Launchpad, Ubuntu Discourse, AskUbuntu…) ne sont pas touchés par cette action. Les sites non liés à Canonical, comme Ubuntu-FR, ne sont pas non plus visés par cette annonce.
Cependant, si vous utilisez le même mot de passe avec votre compte chez Ubuntuforums et avec d’autres services, il est vivement recommandé de modifier vos mots de passe ! Même si les mots de passe d’Ubuntuforums ne sont pas en texte clair dans la base de données, il n’en demeure pas moins une vulnérabilité qu’une personne de non-confiance dispose de telles informations. Profitez-en alors pour vous familiariser à des bonnes pratiques concernant le choix et l’utilisation de mots de passe :
- choisissez un mot de passe complexe — et ne le réutilisez-le pas dans d’autres services ;
- utilisez un logiciel de gestion de mots de passe, comme Keepass ;
- et lorsque possible, utilisez les méthodes d’authentification unique, comme OpenID, Mozilla Persona ou l’authentification en deux temps de Google.
– Alexandre P.
