« 123456 » : ce terrible mot de passe est responsable d’une gigantesque fuite de données

« 123456 ». C’est le mot de passe qu’un pirate a compromis pour s’emparer des données de 8,8 millions de personnes au Danemark. Le hacker raconte comment ce mot de passe a abouti à l’une des pires fuites de données jamais orchestrées contre une autorité publique en Europe.

Le Danemark a été victime d’une cyberattaque historique. La semaine dernière, le ministère du Numérique danois a révélé que des hackers sont parvenus à compromettre le registre civil danois (CPR). Dans le système informatique, ils ont pu consulter les noms, adresses et numéros d’identification de 8,8 millions de personnes. Il s’agit d’un « incident extrêmement grave », estime la ministre du Numérique, Christina Egelund. De l’avis du chercheur Jørn Guldberg, il n’y a « aucun précédent d’une fuite de données aussi importante venant d’une autorité publique ».

Quelques jours après l’annonce, nos confrères de Politiken, l’un des principaux quotidiens nationaux du Danemark, ont pu échange avec le pirate présumé à l’origine de l’attaque. Interrogé par le biais d’une messagerie chiffrée, le hacker affirme être l’auteur de l’attaque et dit qu’elle n’était « pas particulièrement difficile » à mener à bien. Pour prouver ses dires, le cybercriminel a envoyé un fichier de près de 8,8 millions de numéros CPR au média. Pour plusieurs experts, il est fort probable que le pirate dise vrai et soit bien impliqué dans la fuite.

À lire aussi : Fuite de données – la Cnaf suspend un site d’urgence après un « incident de cybersécurité »

Un mot de passe compromis à l’origine de l’attaque

Le cybercriminel fait une révélation étonnante sur le déroulement de la cyberattaque. Il prétend avoir d’abord utilisé le mot de passe compromis d’un ancien employé de Pays ApS, une petite entreprise danoise, autorisée à se connecter au registre national. Ce mot de passe n’était autre que le tristement célèbre « 123456 ». Avec ce mot de passe compromis, il a pu avoir accès au registre à partir du 10 septembre. Pendant plus de 21 jours, le hacker s’est servi dans la montagne de données sous ses yeux. Toujours selon ses déclarations, il a ensuite créé deux programmes informatiques pour organiser le vol. Le premier récupérait des informations dans le système CPR. Le second programme était taillé pour envoyer et stocker les informations sur un serveur externe.

Les journalistes de Politiken ont examiné les données issues de l’attaque pour confirmer les dires du truand. Elles montrent qu’au moins trois comptes utilisateurs de l’entreprise Pays ApS utilisaient « 123456 » en guise de mot de passe. L’un d’eux était même le compte administrateur de l’entreprise. Dans le sillage des révélations du pirate, Sophie Laursen, la directrice générale et propriétaire de Pays, a confirmé que « l’accès légal pour consulter des informations dans le système CPR a été détourné ».

À lire aussi : 730 millions de données volées – la police fait tomber Reacher, le moteur de recherche pirate de 3 ados

« Aucune sécurité, c’est une porte ouverte »

Interrogé par le média Berlingske, Jens Myrup Pedersen, professeur à l’Institut de génie électrique et informatique de l’université d’Aarhus, qualifie la situation de « désespérante » et voit « mal comment on pourrait avoir une sécurité plus mauvaise ». Il explique qu’un mot de passe comme « 123456 » est l’un des tout premiers code qu’un pirate va essayer pour tenter d’entrer dans un système informatique. Pour lui, ce n’était qu’une question de temps avant que les choses ne tournent mal.

« Il n’y a aucune sécurité, c’est une porte ouverte », tacle Jens Myrup Pedersen.

C’est loin d’être la première fois qu’un mauvais mot de passe a des conséquences désastreuses. On se souviendra notamment de l’affaire SolarWinds en 2020. Cette année-là, des pirates russes ont piégé une mise à jour du logiciel Orion de SolarWinds avec le malware Sunburst. Ils ont ainsi atteint les clients de l’éditeur, dont Microsoft, Google, Cisco et CrowdStrike. L’enquête a révélé que certains serveurs de SolarWinds étaient protégés par le mot de passe « solarwinds123 »… déjà divulgué en ligne des années plus tôt. Citons aussi l’affaire du compte Twitter de Donald Trump, qui était protégé par le mot de passe « maga2020! », soit le slogan de campagne « Make America Great Again 2020 ».

On vous invite évidemment à bannir les mots de passe trop simples, comme « 123456 », « password » ou votre date de naissance. Ceux-ci figurent en tête des listes testées en priorité par les pirates. Privilégiez plutôt des mots de passe longs, d’au moins 12 caractères, mêlant majuscules, minuscules, chiffres et symboles. Surtout, n’utilisez jamais le même mot de passe sur plusieurs services. En cas de fuite, un seul mot de passe volé pourrait ouvrir toutes les portes de votre vie numérique. On vous recommande idéalement de passer par un gestionnaire de mots de passe. Enfin, activez systématiquement la double authentification dès que c’est possible, de préférence par le biais d’une application ou d’une clé de sécurité plutôt que par SMS.