Une fuite massive : 70 millions de comptes français en vente sur le dark web

Une gigantesque base de données comprenant 70 millions d’adresses électroniques et de mots de passe appartenant à des Français a été découverte par ZATAZ via son service commercial de veille, ZATAZ Watch. Cette fuite colossale soulève des inquiétudes majeures quant à l’origine de ces informations et aux risques qu’elles représentent. Selon les premières analyses, ces données semblent avoir été compilées avec des informations datant de 2024/2025, ce qui renforce leur dangerosité.

Le document diffusé par le pirate dans un dark web

Analyse et statistiques de l’étude du ZATAZ Watch

ZATAZ Watch du Service Veille éponyme a également mené une étude approfondie sur les mots de passe contenus dans cette base de données de 70 559 436 internautes. On croise 278 132 noms de domaines différents, dont plus de 700 de sensibles. 59 015 379 mots de passe sont uniques. Voici quelques autres chiffres clés révélateurs :

• Mots de passe uniquement numériques [que des chiffres] : 6 456 722 (10,94 %)
• Mots de passe uniquement alphabétiques [que des lettres] : 23 376 567 (39,61 %)
• Mots de passe alphanumériques [lettres et chiffres] : 39 208 575 (66,44 %)
• Mots de passe complexes [chiffres, lettres et symboles] : 906 392 (1,54 %)

Ces statistiques montrent une prévalence inquiétante des mots de passe peu sécurisés. Une majorité des utilisateurs privilégient encore des combinaisons simples, rendant les attaques par force brute ou par dictionnaire plus efficaces. Sans parler des combinaisons qu’il est possible de retrouver grâce au social engineering, l’ingénierie sociale avant même de toucher un clavier. Un simple exemple, dans cette base de données, 833 663 personnes utilisent soit leur prénom, soit l’information contenue dans l’adresse électronique elle même [[email protected] / mot de passe : 1111]

Comment un pirate a-t-il constitué cette base de données ?

La mise en ligne de ces 70 millions de comptes n’est pas le fruit du hasard. Le cybercriminel à l’origine de cette compilation a pu récupérer ces informations en combinant plusieurs méthodes frauduleuses. Il a ensuite tout regroupé dans un fichier de 2To. Voici les principales techniques utilisées pour constituer ce genre de document malveillant :

Le phishing : l’art de piéger les victimes

Le phishing est l’une des méthodes les plus courantes pour obtenir des identifiants de connexion. L’attaquant envoie un e-mail, un SMS ou même un message sur les réseaux sociaux en se faisant passer pour une entreprise de confiance (banque, service en ligne, administration). La victime est incitée à cliquer sur un lien menant à un site frauduleux, imitant parfaitement l’original. Une fois ses identifiants saisis, ces derniers sont immédiatement transmis au pirate.

Exemple concret : Un internaute reçoit un mail de « sa banque » l’invitant à confirmer une transaction suspecte. En cliquant sur le lien, il est redirigé vers un faux site où il entre son identifiant et son mot de passe. Ces informations sont alors capturées par l’escroc. Les banques deviennent un exemple « passé ». Les malveillants usurpent aussi bien une enseigne de la grande distribution qu’un établissement scolaire, universitaire ou de santé.

Exemple de fichiers dissimulant un info-stealer.

La collecte via des fuites de données

Les cybercriminels exploitent aussi des bases de données déjà compromises. De nombreux sites et services en ligne ont subi des brèches de sécurité au fil des ans. Les pirates récupèrent ces informations et les compilent pour enrichir leurs bases. Il fabrique ainsi des combos. L’année dernière, le Service Veille ZATAZ a vu passer plusieurs milliards de données copiées par des pirates et diffusées (ventes, échantillons, Etc.)

Exemple concret : Lorsqu’une plateforme de e-commerce, un réseau social, un forum, etc. sont piratés, les identifiants des utilisateurs peuvent être exfiltrés. Ces données sont ensuite revendues ou combinées avec d’autres pour créer des bases plus complètes. ZATAZ Watch ne voit pas passer que des mots de passe. Les abonnés au SVZ sont malheureusement très souvent alertés de fuite de données de documents personnels et sensibles.

Les informations volées via des info stealers

Les info stealers sont des logiciels malveillants conçus pour voler les identifiants directement sur l’ordinateur des victimes. Ils s’installent généralement via des téléchargements frauduleux ou des failles de sécurité.

Exemple concret : Une personne télécharge un faux logiciel de mise à jour d’un lecteur vidéo. En réalité, ce programme est un infostealer qui enregistre toutes les frappes clavier et vole les identifiants stockés dans les navigateurs. Les images ci-dessous vous montre les « logiciels » que les pirates diffusent en ce début mars. Des logiciels se faisant passer pour des cracks (piratage de logiciels commerciaux), de faux jeux (Mario et Donkey Kong sont à la monde, ndr) et autres faux logiciels pour gagner en notoriété sur les réseaux sociaux.

Les risques d’une telle base de données

Une fois entre les mains de cybercriminels, ces 70 millions de comptes exposés deviennent des armes redoutables. Voici quelques scénarios d’exploitation. Si un utilisateur utilise le même mot de passe sur plusieurs services, les attaquants peuvent tenter de se connecter à ses autres comptes, notamment bancaires. Comme le montre notre analyse, plus de 10 millions de mots de passe sont utilisés plusieurs fois. Ensuite, les arnaques et autres escroqueries. En connaissant l’adresse électroniques et certains services utilisés, les pirates peuvent envoyer des courriels de phishing hyper ciblés. Dans notre étude, plus de 200 000 noms de domaines différents, dont des entreprises privées comme publiques. D’autres cybercriminels peuvent acheter ces informations pour leurs propres cyber attaques comme nous avons pu le voir, l’année dernière, avec l’infiltration de nombreuses entreprises hexagonales. Certains pirates peuvent utiliser ces données pour faire pression sur les victimes.

Utiliser un mot de passe unique pour chaque service en ligne limite considérablement les risques liés aux fuites de données.

Comment se protéger ?

Face à une telle menace, il est essentiel d’adopter des mesures de cybersécurité adaptées. Voici quelques recommandations de ZATAZ (rien de nouveau, mais un rappel, c’est comme pour la grippe, le vaccin doit être régulier) :

• Utiliser un gestionnaire de mots de passe : Pour éviter la réutilisation d’identifiants, un gestionnaire de mots de passe permet de générer et stocker des mots de passe complexes et uniques.
• Activer l’authentification à deux facteurs (2FA) : Même si un mot de passe est compromis, une deuxième couche de sécurité (SMS, application d’authentification) empêche les connexions non autorisées.
• Vérifier si son adresse e-mail est concernée : Le service ZATAZ Watch permet de savoir si son adresse figure dans une fuite de données récente. Il existe d’autres services comme HIPB, mais nous refusons (ainsi que la loi) de mettre en place un moteur de recherche qui pourrait être attaqué, bogué, etc. Et les contenus que nous découvrons peuvent aller des capturés de vos écrans aux données de santé, bancaire, de couple (légitime ou non), ect.
• Se méfier des mails et messages suspects : Ne jamais cliquer sur un lien ou télécharger une pièce jointe provenant d’un expéditeur inconnu. Je ne parle même pas de l’envie de télécharger un soit disant logiciel qui vous transformera un star des réseaux sociaux ou qui vous permettra de ne pas payer un service.
• Mettre à jour ses logiciels et antivirus : Les info stealers exploitent souvent des failles de sécurité déjà corrigées par les mises à jour.

L’activation de l’authentification à deux facteurs est une barrière efficace contre l’usurpation de compte.

Les personnes souhaitant savoir si leur site est impacté par cette fuite peuvent faire la demande gratuitement via le tchat du Service Veille ZATAZ [veillezataz.com].

Pour rester informé sur les enjeux de cybersécurité, inscrivez-vous à la newsletter de ZATAZ. Rejoignez également notre groupe WhatsApp et nos réseaux sociaux pour accéder à des informations exclusives, des alertes en temps réel et des conseils pratiques pour protéger vos données.