Piratage des 20000 comptes Hotmail, Gmail et Yahoo!!!

Près de 20 000 comptes Hotmail, Gmail et Yahoo ont été piratés il y a quelques jours. Les hackers ont tout simplement utilisé une technique classique de Phishing. Ils ont envoyés des courriers électroniques frauduleux, et des milliers d’utilisateurs se sont faits berner en donnant leurs mots de passe sans même vérifier qu’ils avaient bien à faire aux sites officiels.

Ce qui est assez nouveau dans cette attaque, c’est sa grandeur, avec près de 20 000 comptes piratés et surtout la décision par les hackers de rendre public, la liste de adresses mails avec les mots de passe correspondants.

Après quelques recherches nous avons réussi à mettre la main sur cette fameuse liste. Enfin sur plusieurs morceaux de liste qui, une fois réunis, ont formé une base de données très intéressante à étudier

Tout d’abord, la proportion de l’attaque. A première vue, les utilisateurs de Hotmail sont les plus touchés avec 12500 passwords. Vient ensuite Yahoo et c’est quelques 3000 entrées et Aol avec 1000 résultats. Pour finir il y a Gmail avec seulement 450 comptes concernés.

Ces différences dans les chiffres sont difficilement explicables. Soit les hackers ont volontairement plus ciblés Hotmail, soit les filtres anti-spam de Gmail et Yahoo & Co ont mieux fonctionnés. Mais bon, rien ne nous le prouve.

Les 2150 lignes restantes concernes des sociétés un peu moins connu (ex: @verizon.net, @sbcglobal.net, @prodigy.net, @neomail.com …) ou encore des adresses mail mal orthographiées lors du Phishing (ex: @hotmal, @hotmil, @homail …)

On continue avec la question qui personnellement m’intéressait le plus. Quels sont les mots de passe les plus utilisés.

Là certains mots de passe font froids dans le dos. Notamment le très utilisé « 123456″ et ses nombreuses variantes « 12345678.. » ou encore « 123123″ et « 112233″. Les autres passwords sont assez classiques comme « monkey, « iloveyou », « password » ou encore les références à des prénoms comme « kitty », « jessica » …

En revanche, quand on cherche bien dans la liste, ou trouve des exemples de passwords plutôt complexes et parfois très long. Dommage que ces personnes si sensibilisées à la complexité de ces derniers ne soient pas plus vigilant concernant les attaques par Phishing :