La saison des fuites de mots de passe sur les services web est ouverte, apparemment. Le réseau social pour professionnels LinkedIn a été le premier à confirmer que sa base de données a été piratée cette semaine et que près de 6,5 millions de mots de passe ont été publiés. Peu de temps après, le site de rencontres américain eHarmony a déclaré la même chose. C’est maintenant au tour du célèbre service musical Last.fm d’alerter ses utilisateurs sur quelque chose de similaire.
Selon l’avis affiché sur une page de service spéciale, ils ont détecté et enquêtent sur une faille qui a provoqué la fuite du mot de passe de certains de leurs utilisateurs. Ils affirment l’avoir découvert après la fuite du mot de passe d’autres sites et des “informations publiées en ligne”, sans dire exactement de quoi il s’agit. Le personnel du site conseille alors à tous les utilisateurs de changer leur mot de passe pour un mot de passe moins évident et unique qui n’est pas utilisé dans d’autres services web.
Il n’y a toujours pas d’autres informations sur la fuite jusqu’à présent, comme le nombre d’utilisateurs touchés ou si d’autres données ont également fui, comme le courrier électronique et les identifiants de connexion. Mais au moins, Last.fm avertit tous ses utilisateurs connectés au site du problème, avec une barre jaune peu discrète en haut. Les dernières estimations montrent que le service compte environ 48 millions d’utilisateurs dans le monde entier.
Les pirates informatiques en possession des mots de passe des utilisateurs ont déjà averti qu’ils allaient créer un outil automatique permettant à tous les comptes d’écouter les chansons de Justin Bieber en même temps. Ok, cette dernière partie n’est pas vraie.
10:10 update | Comme notre lecteur Murilo Monteiro sur Facebook l’a alerté, la fuite de mots de passe de tous les sites semble être liée à un forum appelé InsidePro.com, utilisé par des pirates et des personnes malveillantes dans le but de décrypter les mots de passe hachés. Le sujet original a déjà été supprimé, mais le cache de Google montre encore quelques preuves de son existence.
Selon GigaOm, le responsable de l’attaque pourrait être un hacker qui répond au pseudo de dwdm et qui a une grande expérience de la fuite de mots de passe dans le passé. Il aurait commencé à publier les mots de passe dès le mois d’avril, mais il vient seulement d’être découvert.
