Un hacker annonce la fuite des données d’un service de veille sur… les fuites de données

Même un site de détection des fuites peut fuiter. Le 13 juillet, un hacker a contacté plusieurs sites anglophones, dont ZDNet, pour leur annoncer qu’il avait compromis le service de veille sur les fuites de données DataViper. À la clé : 8 200 bases de données dérobées, contenant des milliards de données d’utilisateurs.

DataViper scanne les forums de hackers, le dark web et d’autres coins du web à la recherche de fuites de données. S’il trouve des informations sur ses clients, il va les avertir. Ils pourront ainsi agir en conséquence en changeant leur mot de passe ou en quittant le service concerné par la fuite après suppression de leurs données. DataViper est loin d’être seul à proposer ce service, plusieurs entreprises, comme le français Zataz, font de même.

Un client de DataViper peut chercher ses données dans les fuites récupérées par le service. // Source : DataViper

Mais le site a une particularité : il appartient à Vinny Troia, conférencier, auteur et fondateur de l’entreprise de sécurité Night Lion Security. Le présumé hacker a d’ailleurs pris le nom NightLion pour s’adresser aux journalistes américains, et les a orientés vers un portail sur le dark web intitulé « RIP Vinny Troia ». «  Je vais terminer la carrière entière de cet homme », écrit-il.

De son côté, Vinny Troia a concédé que son site a effectivement été compromis. Mais sur Twitter, il tempère l’importance l’incident : « tout ce à quoi ils ont eu accès est un environnement de développement. Des bases de données ? Absolument pas ». Il explique que les bases données ne proviennent pas à son site, et que l’opération ne vise qu’à lui porter préjudice. Plus étonnamment, il appelle les personnes intéressées par l’affaire à assister à sa prochaine conférence, qui se tient mercredi, lors de laquelle il va promouvoir son livre…

Des preuves, mais une ampleur encore inconnue

Le hacker présumé détaille la façon dont il s’est introduit sur les serveurs de DataViper. Il explique y avoir passé trois mois, pendant lesquels il aurait exfiltré les fuites de données. Pour preuve, il liste les 8 225 bases de données concernées, ainsi que des échantillons de ces fuites compilés dans 482 fichiers à télécharger.

En parallèle, il a mis en vente sur une plateforme du dark web les 50 plus grosses bases de données de la fuite. Elles sont étiquetées Ubisoft, Epic Games (Fortnite) ou encore Instagram, et comptent chacune plusieurs millions de données.

Seule une petite partie des données aurait de la valeur

Seulement, leur valeur pourrait être nulle. Les services comme DataViper compilent surtout des fuites déjà rendues publiques (par exemple sur HaveIBeenPwned) et connues par les acteurs du secteur. D’après Vinny Troia, ces données pourraient même venir d’autres serveurs, et non de ceux de DataViper.

Pour ZDNet, qui a eu accès aux données, la majorité des bases de données sont vieilles de plusieurs années, et n’ont donc plus de valeur, soit car elles sont connues, soit car les données ne sont plus à jour. Mais le site américain précise qu’il enquête sur certaines d’entre elles, qui semblent nouvelles.

Vinny Troia, victime de vengeance ?

Vinny Troia a enquêté sur les communautés de hackers qui revendiqueraient la fuite. Il a publié ses résultats dans son livre, et ce hacking contre son service serait donc une vengeance de la part des cybercriminels. « J’ai littéralement détaillé un scénario entier dans mon livre sur comment je leur ai donné accès à mon serveur web afin de récupérer leurs adresses IP. Ils n’apprennent pas », se vante-t-il. Il théorise que les hackers veulent s’attaquer à sa réputation avant qu’il ne parle d’eux lors de sa prochaine conférence.

Déjà en mars, peu après la publication du livre de Vinny Troia, un script automatique avait supprimé plus de 25 000 bases de données ouvertes. Il laissait comme trace sur ces serveurs la signature « nightlionsecurity », le nom de l’entreprise du chercheur, sans demander de rançon. Troia avait alors assuré qu’il s’agissait d’une manœuvre diffamatoire contre sa personne, à cause de son travail sur les hackers. « C’est une piste, mais nous n’avons aucune preuve », expliquait alors à Numerama, John Wethington, cofondateur de Condition Black, qui avait découvert le script malveillant. « D’autres personnes soupçonnent Vinny Troia, le fondateur de Night Lion, d’avoir fait la manipulation lui-même pour faire la promotion de son livre sorti un mois plus tôt. C’est difficile de trancher. » Peut-être que l’examen des bases de données pourra mettre un terme à ce débat.