Previous Story
Business des bases de données piratées : ZATAZ met la main sur plus de 32 millions de Français
Posted On 30 Jan 2019
« Vous avez 48 heures pour effectuer le paiement. » Voilà le type de menace que reçoivent, depuis plusieurs jours, des centaines de milliers de personnes, par courrier électronique. Une nouvelle tentative de chantage lancée par des escrocs. Il ne s’agit pas de pirates derrière ces lettres électroniques mais des maîtres chanteurs. Ils ont récupéré des millions de données et ils s’en servent. ZATAZ en a trouvé 32 millions !
Comme je vous l’explique ICI et LÀ, une nouvelle vague de courriels touche des centaines de milliers de personnes depuis quelques heures. Après les premières « attaques » datant d’avril, juillet et septembre 2018, cette nouvelle vague malveillante de cette fin janvier 2019 a une ampleur rarement rencontrée. Pendant que tout le monde parle d’une fuite de données chez Dailymotion ou encore d’une faille dans les appareils Apple et FaceTime, des escrocs exploitent des centaines de bases de données pour espérer piéger les internautes inscrits dans ces BDD.
Le concept est toujours le même : faire croire aux lecteurs des mails qu’un pirate leur écrit et qu’il a réussi, selon les courriels, d’infiltrer l’ordinateur, le smartphone ou récupérer des vidéos preuves de votre visite dans un site porno. Bref, du social engineering. Jouer sur la peur pour faire payer les internautes. Avec 28,5 milliards milliards de visiteurs sur PornHub en 2017 par exemple, les escrocs ont de forte chance de tomber sur un internaute ayant visité un portail pour adultes.
Vous avez 48 heures pour effectuer le paiement – Mais comment font-ils ?
Dans mon enquête sur les auteurs de ces escroqueries, l’ANSSI n’aurait pas fait mieux pour éduquer le public à une meilleure gestion de leurs données personnelles, je me suis penché sur les bases de données exploitées par ces voyous 2.0. D’où proviennent les adresses mails ? Comment font-ils, dans certains cas, pour afficher des données privées, comme d’anciens mots de passe » ? Le Service Veille ZATAZ (SVZ) va m’être d’une importante aide.
Dans plusieurs sites « pirates » et blackmarkets que SVZ surveille, en 24 heures, aura été collecté plus de 32 millions d’identifiants de connexion (mail, mot de passe). Des bases de données confectionnées soit à partir de piratages de sites web, soit via de « simples » phishing.
Je reviendrais d’ailleurs sur le phishing dans un prochain article. Des phishing (filoutages) qui n’ont pas pour but d’intercepter vos données bancaires, mais de mettre la main sur vos photos, et si possibles « très privées ». J’ai mis la main sur deux boutiques du black market spécialisées dans ce genre de document. J’y reviendrai dans quelques jours.
Les victimes & les boutiques !
Comme j’ai déjà pu vous le montrer, la revente de données piratées est devenue un sport olympique. Parmi les exemples présentés, cette boutique qui commercialise plus d’un million de Français à 4€ le log de données.
Dans les bases de données et autres combos (regroupement de données piratées) n’impliquant que des Français, voici ce que j’ai pu découvrir en quelques heures. 32 millions de Français et Françaises.
Parmi les fichiers diffusés : des centaines d’utilisateurs du site Le Bon Coin ; trois BDD signées Wanadoo et Orange comprenant chacune plusieurs dizaines de milliers de Français ; La Redoute… Des informations vendues entre 0,005€ et plusieurs dizaines de billets. Le prix varie selon la fraîcheur des contenus (date, 0day…)
Certaines BDD sont mises en ligne gratuitement dans des sites web pirates. Bref, les escrocs n’ont plus qu’à les cueillir pour s’en servir et vous envoyer un mail de menace avec suffisamment d’informations pour être convainquant. Je vous montre dans mes captures écrans proposées dans cet article plusieurs boutiques spécialisées dans la revente d’accès piratés à des chaînes de Tv à péage, jeux vidéo (Fortnite, BF), musique …
Comment éviter la curée ?
D’abord, arrêtez d’utiliser le même mail, partout. Il en va de même pour vos mots de passe. Un site, un mail, un password. Ensuite, comprenez bien que votre mail utilisé par ces escrocs est définitivement perdu. J’entends par là qu’une fois dans un combo pirate, votre adresse sera copiée, diffusée, revendue par d’autres escrocs, spammeurs.
Pour finir, non, les pirates n’ont pas accès à votre ordinateur… mais peut-être qu’ils ont accès au reste (webmail, réseaux sociaux, …). Il est donc conseillé de changer l’ensemble de vos mots de passe, d’utiliser la double authentification.
Bref, plus d’inquiétude pour le « Vous avez 48 heures pour effectuer le paiement« . Pour ce qui concerne votre adresse mail, c’est une autre histoire !
PS : Vous souhaitez savoir si vous vous trouvez dans ces 32 millions de données découverts ces dernières heures par ZATAZ ? Plusieurs possibilités : Soit le Service Veille ZATAZ. Il coûte 19€99 pour une année de surveillance. Soit par téléphone 089 927 4448*.
Bonjour,
Un mail différent pour chaque service web ? Comment faites vous pour obtenir un nombre aussi important de boîtes mail ?
Merci.
Bonjour,
il existe plusieurs méthodes, mais je conseille vivement d’avoir son propre nom de domaine qui permettra de créer mails et alias différents.
Je suis d’accord un site = un mail + un mot de passe , mais ça ne suffit pas .
faudrait éduquer les particuliers / associations / tpe à utiliser le cci plutôt que le cc lors d’envoi d’email groupé . Il n’y a rien de plus pénible que de voir qu’un ou plusieurs contacts envoie(nt) en clair votre email +nom +prénom à tous ces contacts parce qu’il a utilisé l’envoi en cc plutôt qu’en cci . Du coup il suffit que dans le lot un seul soit déjà piraté pour recevoir après des tentatives de phishing !
Bonjour,
Tout à fait, rien que de cacher les adresses de ses correspondants est déjà un moyen de les protéger.
Bonjour,
J’ai reçu ce mail ( au mot prêt ) mardi 29 janvier 2019 à 02:34 heures.
Pour ma part, il me demande 520.00 euros.
Votre site m’a bien rassuré.
L’objet du mail est « BONJOUR ».
ET l’expéditeur est xxxxxxxr
Ce qui m’a inquiété c’est qu’une opération mystérieuse est intervenue sur mon compte bancaire. Une coincidence surement.
Le gendarme que j’ai vu m’a dit que j’était la 4 ème personne qu’il voit pour ce mail.
Je connaissais les mails frauduleux, mais là ils font fort.
Je ne paierai pas.
Affaire à suivre.
Merci à Damien pour ses conseils.
Bonjour,
J’ai retiré l’adresse mail, l’entreprise est usurpée, elle n’y est pour rien 🙂
A noter que diffuser une adresse mail dans un forum, un site, … peut être collectée pour ce genre d’arnaque.
On voit des .nl et .es sur la capture d’écran wanadoo.
Bonjour,
La BDD en capture écran concerne uniquement des Wanadoo. Et il existe des Wanadoo .nl, .es … dans cette BDD. Seules les .fr ont été comptabilisés dans le 32 millions.
Pingback: ZATAZ 1er février : journée internationale du changement de mots de passe - ZATAZ
J’ai 329 entrées dans mon gestionnaire de mots de passe, correspondant à autant de sites ou forums. Comment voulez-vous que l’on crée autant de boîtes mails, même grâce à un nom de domaine ? C’est aberrant.
Le gros problème à l’heure actuelle c’est que les autorités ne font rien pour condamner ces black-markets, ni pour tracer les enflures qui sont à l’origine des e-mails.
Mon avis est que ce n’est pas à la population de jouer aux techniciens informatique, mais aux techniciens en question et aux autorités de trouver le moyen d’endiguer le problème. Par exemple en :
– abandonnant les écoles de hacking et formations en sécurité informatique qui fournissent en réalité des moyens aux élèves de devenir ce qu’ils veulent
– laissant le combat du piratage à des génies et ou spécialistes. Pas besoin de transformer monsieur tout-le-monde en hacker.
– traquant les sites de diffusion d’outils de hacking.
– et donc, en permettant les lois qui permettront de faire celà. Et là dessus, le gros point noir est le côté réac des fumeurs de joint et autres téléchargeurs du dimanche qui ne veulent pas de « lois liberticides », tels que [non de l’association effacée]. Délirer sur les dystopie, c’est mignon, mais ça commence à faire chier. Entre le terrorisme et le hacking, la population va en avoir ras le cul des conneries et surtout des morales à deux balles.
Bonjour,
Aberrant, mais indispensable, surtout si chaque compte que vous avez ouvert est à considéré sensible.
A quoi sert d’avoir 1000 clé, si c’est pour la même serrure.
En ce qui concerne les autorités et leur lutte contre les malveillants. Elles agissent, pour preuve, dernier cas en date (janvier 2019) :
https://www.zataz.com/fin-du-business-pirate-pour-xdedic-marketplace/
En ce qui concerne les « escrocs » derrière ces mails, les autorités enquêtes. Face à 10.000 plaintes reçues, elles ont même beaucoup de travail.
https://www.6play.fr/le-1945-p_1058/19-45-du-mardi-05-fevrier-c_12274131
La population n’a pas à jouer aux techniciens, pourtant, tout comme vous, beaucoup utilisent un gestionnaire de mots de passe qui demande réflexion pour installation et utilisation.
En ce qui concerne d’abandonner les écoles de hacking et formations de sécurité informatique ! Votre méconnaissance du sujet vous fait dire de grosses bêtises. J’ai la chance d’intervenir dans plusieurs de ces établissements. Des étudiants passionnés d’informatique, se dirigeant vers des métiers indispensables aujourd’hui. la cybersécurité n’est pas qu’un métier. Donc, stopper une formation qui permet de contrer les pirates serait de laisser la route grande ouverte aux cyber criminels. Dans ces étudiants, des gendarmes, des policiers, des informaticiens … et vous pensez vraiment qu’un pirate informatique a besoin de cours ?
En ce qui concerne les lois, ici aussi vous ne semblez pas bien au fait. La France possède un arsenal juridique sur le sujet que de nombreux pays souhaiteraient adopter. Prenons juste « Loi informatique et liberté » de 1978 ; RGPD (2018) ; Loi Godfrain ; LCEN …
Vos derniers propos. Que vous n’aimiez pas telle ou telle association est votre problème. Par contre, si vous pouviez éviter de les insulter. Il existe aussi une loi pour punir ce genre de « détail ».
Pour finir, votre message (et votre mail) était considéré comme « spammeur » par plusieurs outils. Aberrant, n’est-ce-pas ?!
Cordialement
Ps : avant de venir cracher son venir, on apprend aussi à être poli 😉
Pingback: ZATAZ Piratage de votre webcam : le baiser magique qui vous protége des escrocs - ZATAZ
Pingback: ZATAZ J’ai installé un virus sur ton ordinateur pendant que tu visitais un site pour adulte - ZATAZ
Pingback: ZATAZ Chantage par mail : NON vous n'avez pas été piraté - ZATAZ