Google, Facebook, OnlyFans… Une liste de près de 150 millions d’identifiants et mots de passe en accès libre découverte

<p>Une liste d’identifiants de 96 gigas. C’est ce qu’a récemment découvert le chercheur et expert en <a href="https://www.20minutes.fr/dossier/cybersecurite">cybersécurité </a>Jeremiah Fowler, qui raconte son expérience <a href="https://www.expressvpn.com/blog/149m-infostealer-data-exposed/">sur le site ExpressVPN</a>. Totalement publique, la base de données, protégée par aucun mot de passe ou système de <a href="https://www.20minutes.fr/dossier/cryptage">cryptage</a>, contenait les adresses mail, identifiants, mots de passe et autres données critiques de 149.404.754 comptes d’internautes du monde entier.</p><p>Parmi les informations accessibles, le pro de la sécurité en ligne a identifié 48 millions d’identifiants pour des comptes Gmail, 4 millions pour des comptes Yahoo, 1,5 million pour des comptes Outlook, 900.000 pour des comptes iCloud… Les <a href="https://www.20minutes.fr/dossier/reseaux_sociaux">réseaux sociaux</a> ne sont pas non plus épargnés : 17 millions d’identifiants pour Facebook, 6,5 millions pour Instagram, 780.000 pour TikTok, 3,4 millions pour Netflix et même 100.000 pour OnlyFans figuraient dans la base de données.</p><h2>Des services bancaires et gouvernementaux concernés</h2><p>Des identifiants pour X, des sites et applis de rencontres, des services de streaming mais aussi des porte-monnaie de crypto, des comptes de trading ou des services bancaires étaient aussi accessibles. Plus inquiétante encore, « la présence d’identifiants associés à des domaines.gov de plusieurs pays », laissant craindre des <a href="https://www.20minutes.fr/dossier/cyberattaque">cyberattaques </a>sur les services concernés, met en garde Jeremiah Fowler.</p><p>Celui-ci indique que le propriétaire de la base de données est inconnu. Il lui a fallu « presque un mois et plusieurs tentatives » pour que des mesures soient prises par l’hébergeur pour suspendre l’accès au fichier. L’expert en cybersécurité précise qu’il ignore depuis combien de temps ces millions d’identifiants étaient accessibles ou qui a pu les consulter.</p>