L’hébergeur de fanfictions Wattpad subit une gigantesque fuite de données

270 millions de lignes de données de Wattpad pour l’équivalent en bitcoin de 100 000 dollars. Voici l’offre repérée par le Bleeping Computer sur un forum de hacker le 7 juillet. À peine une semaine plus tard, des malfaiteurs proposaient une base similaire sur un autre forum, cette fois gratuitement.

La base contient des noms d’utilisateurs, de vrais noms, des adresses email, des données géographiques et des mots de passe hashés (transformés en une longue suite de caractères, ce qui les rend illisibles, ndlr). Ces derniers sont illisibles grâce au hachage, mais en fonction de sa robustesse, ils pourraient être décryptés par certains pirates. Les cybercriminels pourraient alors accéder aux comptes d’utilisateurs.

Le 20 juillet, HaveIBeenPwned a téléchargé la base de données piratée. Il vous suffit de rentrer votre email sur ce site de référence pour savoir (gratuitement) si vous faites partie des victimes de la fuite.

Wattpad a été la première plateforme à publier The Kissing Booth, devenue un carton d’audience de Netflix // Source : Netflix

L’entreprise n’a pas encore trouvé l’origine exacte de cette fuite d’informations, mais elle a communiqué sur les premiers résultats de son enquête, menée avec des consultants spécialisés. Elle confirme que certains de ses serveurs ont fuité, mais elle précise que les informations financières, les messages privés et les numéros de téléphone ne sont pas affectés, d’après ses observations partielles.

Grâce à l’hébergement de plus de 400 millions d’histoires (en grande majorité écrites par des auteurs et autrices amateurs), Wattpad dégage 24 millions de chiffre d’affaires par an et continue de se développer. Il a par exemple créé un nouveau service pour pousser les adaptations en livre ou en série des plus grands succès de sa plateforme. L’exemple qu’il met en avant est celui Kissing Booth, une histoire publiée sur Wattpad devenue un carton d’audience sur Netflix.

Le risque que des histoires anonymes deviennent publiques

Pour comprendre les risques liés à la fuite, il faut connaître la plateforme. Wattpad permet à ses utilisateurs d’autopublier en ligne leurs histoires. Lancée en 2007, elle s’est rapidement imposée comme une des principales plateformes de fanfiction. Ce genre regroupe des histoires issues d’univers connus (comme Harry Potter), ou articulées autour des personnalités préférées de l’auteur ou autrice. Wattpad héberge également des fictions issues d’univers originaux, autopubliées sur la plateforme pour éviter la lourdeur du parcours d’édition traditionnel.

La compromission d’un compte pourrait donc mener au vol des textes de l’utilisateur, dont certains deviennent par la suite des best-sellers. Et ce n’est pas tout : une partie de cette communauté d’écrivains et écrivaines développe des histoires érotiques, voire pornographiques, qui placent leurs célébrités préférées au centre de l’intrigue. Des récits que la plupart préfèreront garder anonymes et confidentiels, et qui pourraient faire l’objet de manœuvres de chantage si des personnes malveillantes mettaient la main sur cette information.

Wattpad va-t-il avertir les utilisateurs concernés ?

Ces menaces s’ajoutent à d’autres, plus classiques, comme le risque pour les victimes de recevoir du phishing personnalisé. Avec le nom, le nom d’utilisateur et l’email d’une personne, les cybercriminels peuvent recréer tout un pan de la vie numérique des victimes, et l’instrumentaliser pour arriver à leurs fins.

Vu l’ampleur de la fuite, il se pourrait que Wattpad avertisse ses utilisatrices et utilisateurs victimes de la fuite, afin qu’ils puissent s’en protéger. Faut-il encore qu’elle ait précisément identifié quelles données sont concernées.