Fuite d'identifiants Collection #1

En janvier 2019, le chercheur en sécurité Troy Hunt a divulgué Collection #1 — un dump agrégé d'identifiants de plus de 87 Go réparti sur plus de 12 000 fichiers, publié sur le service de stockage cloud MEGA et partagé sur un forum de piratage populaire. C'était, à l'époque, le plus grand jeu de données jamais chargé dans Have I Been Pwned (HIBP).

Ce qui s'est passé

Collection #1 n'était pas une seule fuite. C'était une compilation — une agrégation constituée à partir de milliers de fuites de données distinctes, certaines remontant à plusieurs années, dédupliquée et formatée dans un seul but : le credential stuffing à grande échelle. Le credential stuffing est une attaque automatisée dans laquelle des paires identifiant/mot de passe volées sur un service sont rejouées contre de nombreux autres, exploitant l'habitude répandue de la réutilisation des mots de passe.

Le jeu de données contenait 2 692 818 238 lignes, qui se réduisaient après déduplication à 1 160 253 228 combinaisons uniques d'e-mail et de mot de passe, 772 904 991 adresses e-mail uniques et 21 222 975 mots de passe uniques. Les mots de passe en clair sont ce qui rendait l'ensemble particulièrement dangereux — contrairement à un dump de mots de passe hachés, ceux-ci étaient immédiatement exploitables.

Ampleur et nouveauté

Lorsque Hunt a chargé les données dans HIBP :

• Environ 140 millions d'adresses e-mail étaient jusque-là inconnues du service.
• Environ 10,6 millions de mots de passe (environ la moitié) étaient nouveaux dans le corpus Pwned Passwords.

Collection #1 a été rapidement suivie par les Collections #2 à #5, une famille de dumps apparentés totalisant environ 2,2 milliards d'enregistrements et 845 Go, circulant dans les mêmes forums et écosystèmes de torrents. Ensemble, elles représentaient l'une des plus grandes concentrations d'identifiants compromis jamais assemblées en une seule distribution.

Attribution

En février 2019, la société de renseignement sur les menaces Recorded Future a attribué la compilation sous-jacente à un acteur malveillant opérant sous le pseudonyme « C0rpz », qui avait créé et vendu Collection #1 ainsi qu'environ 611 millions d'identifiants supplémentaires. L'agrégation et la revente de données issues de fuites constituent un marché criminel mature ; Collection #1 était un instantané de cette chaîne d'approvisionnement plutôt que le produit d'une seule intrusion.

Impact

Parce que Collection #1 était une agrégation, il n'y avait aucune victime d'entreprise unique ni perte financière directe et quantifiable attribuable à une organisation. Le préjudice était diffus mais réel : tout compte dont les identifiants figuraient dans le dump — et qui réutilisait ces identifiants ailleurs — courait un risque immédiat de prise de contrôle. La fraude par prise de contrôle de compte, la compromission de messagerie d'entreprise et le hameçonnage en aval s'appuient tous précisément sur ce type d'approvisionnement consolidé en identifiants.

Pourquoi c'est important

Collection #1 est l'illustration canonique de la raison pour laquelle la réutilisation des mots de passe est catastrophique et pour laquelle le credential stuffing figure parmi les attaques les plus rentables pour les criminels. Elle a accéléré l'adoption par l'industrie du filtrage des mots de passe compromis (contre des corpus comme Pwned Passwords de HIBP), de l'authentification multifacteur et des passkeys. Pour les défenseurs, elle a redéfini l'exposition des identifiants comme une condition continue et cumulative — les anciennes fuites n'expirent jamais ; elles sont indéfiniment recombinées, redistribuées et rejouées.