Fuite de données VK (2012)

Vers 2012, VK (VKontakte), le plus grand réseau social de Russie, a subi une fuite d'identifiants restée hors de la vue du public pendant environ quatre ans. Elle a éclaté au grand jour le 5 juin 2016, lorsqu'un vendeur utilisant l'alias « Peace » (que l'on retrouve aussi sous peace_of_mind) a mis en vente environ 100 millions de comptes VK sur une place de marché Tor pour 1 bitcoin — soit environ 580 dollars à l'époque.

Ce qui s'est passé

VK n'a jamais reconnu de compromission directe de son infrastructure. Lorsque les données ont refait surface en 2016, l'entreprise a déclaré qu'il s'agissait d'« anciens identifiants/mots de passe collectés par des fraudeurs en 2011-2012 » plutôt que du produit d'une intrusion récente. Quel qu'en soit le vecteur exact, le jeu de données était réel et volumineux : après déduplication, Have I Been Pwned a indexé 93 338 602 comptes uniques.

Le même courtier, « Peace », mettait simultanément en vente d'autres méga-fuites de la même époque — LinkedIn (2012), MySpace et Tumblr — toutes arrivées sur le marché à la mi-2016. VK faisait partie de cette vague de dumps historiques de réseaux sociaux monétisés des années après les faits.

Données exposées

Chaque enregistrement contenait :

• des noms complets ;
• des adresses e-mail ;
• des numéros de téléphone ;
• des mots de passe stockés en clair.

Les mots de passe en clair constituaient l'élément le plus dommageable. Contrairement à la fuite LinkedIn de la même année — où les mots de passe étaient au moins des empreintes SHA-1 non salées nécessitant un cassage — les identifiants de VK étaient directement lisibles, donnant à quiconque achetait le dump des couples de connexion immédiatement exploitables.

Impact

Avec près de 93 millions de couples e-mail/téléphone et mot de passe exposés en clair, le risque principal était la prise de contrôle de comptes et le credential stuffing. De nombreux utilisateurs réutilisent leurs mots de passe d'un service à l'autre ; un mot de passe VK lisible en clair pouvait donc déverrouiller une messagerie, un compte bancaire ou d'autres comptes ailleurs. VK a réagi en bloquant les comptes concernés et en forçant la réinitialisation des mots de passe des utilisateurs dont les identifiants correspondaient au jeu fuité.

Pourquoi c'est important

La fuite VK est un cas d'école illustrant deux problèmes persistants. D'abord, le stockage des mots de passe en clair est indéfendable : il transforme toute exposition de données en une compromission totale et immédiate des identifiants, sans aucun cassage requis. Ensuite, les fuites ont une longue traîne — des données dérobées vers 2012 ont causé un préjudice réel en 2016 et au-delà, car les identifiants conservent leur valeur tant que les utilisateurs continuent de les réutiliser. Aux côtés des dumps LinkedIn, MySpace et Tumblr apparus la même année, VK a contribué à définir la vague 2016 des « méga-fuites historiques » qui a transformé la prise de conscience du public en matière d'hygiène des mots de passe.