Piratage du compte MyEleec chez Ionos

Parlez de tout et de rien
Avatar du membre
christophe
MyEleec de Platine LV2
MyEleec de Platine LV2
Messages : 12457
Enregistré le : mai 14, '07, 10:29
Discipline : Electrotechnique
Académie : Créteil
Qui êtes vous ? : Enseignant
Localisation : Seine et marne
A remercié : 167 fois
A été remercié : 207 fois
Contact :

Piratage du compte MyEleec chez Ionos

Message non lu par christophe »

Bonjour à tous,

je vais tenter d'être le plus clair possible sur les faits qui sont survenus dans la nuit du 30 Octobre afin d'être le plus transparent possible.

Dimanche 30 octobre aux alentours de 8h, j'allume mon ordinateur afin de vérifier mes mails. Je me rends compte de deux choses :
1- Outlook refuse d'ouvrir ma boite mail cabrera@myeleec.fr et m'indique que le mot de passe n'est pas le bon.
2- J'ai reçu un mail qui m'indique que j'ai changé de boite mail de contact chez Ionos vers 00h06 comme vous pouvez le voir ci-dessous :
Capture d’écran 2021-11-04 145948.png
Je tente depuis le Webmail Ionos de me connecter et il me dit que mon mot de passe est invalide. Je décide donc d'aller sur mon espace client Ionos. Ce dernier refuse mon mot de passe. Je comprends la gravité de l'attaque et décide d'appeler Ionos le dimanche matin.

Ionos me confirme l'attaque et bloque tous les accès possibles. Ils m'invite à attendre l'appel ou le mail de la part du service sécurité de Ionos.

A partir de là, j'ai décidé de bloquer le forum et d'afficher le message suivant :
Bonjour à tous.
Hier soir, le compte MyEleec hébergé chez Ionos a été piraté. Le mail de contact a été modifié, le mot de passe modifié.
Il est fortement probable que les pirates aient téléchargé l'ensemble des bases de données MyEleec comportant vos adresses mails.
Nous vous invitons à changer le mot de passe de vos adresses mails utilisées sur MyEleec.
Ionos a dors et déjà coupé l'accès au compte. Mardi 02 novembre, une sauvegarde sera envoyée sur MyEleec afin d'être sûr que les pirates n'aient pas ajouté de malware sur le site, le forum et Moodle.
Nous sommes sincèrement désolés de cet évènement et mettons tout en place afin de revenir à un fonctionnement normal.
N'hésitez pas à nous contacter si vous avez des questions ou des commentaires par mail ou via notre page Facebook : https://www.facebook.com/myeleec
Souhaitant vivement que cet acte de piratage totalement indépendant de notre volonté ne vous empêchera pas de rester fidèle à Myeleec. Nous comptons encore et toujours sur votre soutien indéfectible.
Sincères salutations.
L’équipe Myeleec
Après plusieurs appels à Ionos, j'ai obtenu plusieurs éléments : L'adresse mail (probablement bidon), le numéro de téléphone (probablement bidon) mais surtout, la géolocalisation en France de la personne qui est entrée sur le compte MyEleec avant qu'elle ne pense à utiliser son VPN.

Avec tous ces éléments, je suis allé déposer plainte auprès du commissariat de police.

Aujourd'hui, jeudi 04 novembre, j'ai pu récupérer tous les accès chez Ionos et j'ai pu voir avec le conseiller que le pirate a essayé d'acheter un serveur Cloud. Je ne sais pas pour quoi faire. Si vous avez des idées, merci de me le dire !
Le pirate n'a touché aucun fichier sur MyEleec. Et d'après le conseiller, il n'aurait pas été intéressé par les bases de données, mais simplement par l'achat d'un serveur.

Affaire à suivre ... mais je n'ai que très peu d'espoir de voir une suite à cette plainte.

La question que je me pose c'est comment a-t-il pu se connecter ? Est-ce qu'il a réussi a récupérer mon compte par je ne sais quel moyen ? Est-ce qu'il est entré chez Ionos (j'en doute)...
Je ne suis pas du genre à ouvrir des mails bizarres ni aller sur des sites bizarres ni utiliser le même mot de passe partout ... donc ... comment ?

J'ai activé l'option de double authentification sur mon compte Ionos et j'espère que cet épisode vous incitera également à activer la double authentification partout dès que vous le pouvez !
N'oubliez pas de changer de mot de passe si le mot de passe utilisé sur MyEleec est le même qu'ailleurs ... on ne sait jamais.

J'espère vivement que cet acte de piratage totalement indépendant de notre volonté ne vous empêchera pas de rester fidèle à MyEleec. Nous comptons encore et toujours sur votre soutien indéfectible.

Plein de bonnes nouvelles vont bientôt arriver !

Christophe
À vaincre sans péril, on triomphe sans gloire.
Image Image Image Image Image Image
Avatar du membre
EFMCMA24
MyEleec d'Or 22c LV4
MyEleec d'Or 22c LV4
Messages : 1962
Enregistré le : déc. 3, '12, 20:14
Discipline : Electrotechnique
Académie : Bordeaux
Qui êtes vous ? : Enseignant
A remercié : 142 fois
A été remercié : 158 fois

Re: Piratage du compte MyEleec chez Ionos

Message non lu par EFMCMA24 »

Message très clair et empreint d'une grande honnêteté :super: . Merci Christophe et bon courage à toi.
Image
Image
Image
Image
"Celui qui sait qu'il ne sait pas, éduque-le. Celui qui sait qu'il sait, écoute-le. Celui qui ne sait pas qu'il sait, éveille-le. Celui qui ne sait pas qu'il ne sait pas, fuis-le".
Avatar du membre
haninb
MyEleec de nickel LV2
MyEleec de nickel LV2
Messages : 345
Enregistré le : avr. 8, '13, 20:46
Discipline : Electrotechnique
Académie : Rouen
Qui êtes vous ? : Enseignant
Localisation : Fecamp
A remercié : 1 fois
A été remercié : 2 fois

Re: Piratage du compte MyEleec chez Ionos

Message non lu par haninb »

Merci pour l'info.
Changement de MDP fait.
Christophe vérifie également les profils utilisateurs, il se peut que l'intru en ai profité pour prendre des droits de modérateurs.
Encore merci pour ton investissement.
Bernard
Image Image
Avatar du membre
pwozniak
Nouveau membre LV2
Nouveau membre LV2
Messages : 12
Enregistré le : janv. 16, '13, 20:08
Discipline : Electrotechnique
Académie : Dijon
Qui êtes vous ? : Enseignant

Re: Piratage du compte MyEleec chez Ionos

Message non lu par pwozniak »

Bonjour,
J'ai pris note de cette information importante, mais étant webmaster, en plus d'être enseignant, il y a une partie du message qui me dérange un peu...
"Nous vous invitons à changer le mot de passe de vos adresses mails utilisées sur MyEleec ainsi que votre mot de passe sur MyEleec."
Le mot de passe utilisé sur MyEleec est-il enregistré en clair ou avec un chiffrage insuffisant dans la base de données ?
En tout cas n'imposer qu'un mot de passe de 6 caractères est à mon sens une grosse erreur, car même si le mot de passe est enregistré de manière très sécurisée, un mot de passe court peut être découvert en bruteforce très facilement.
Le minimum serait d'imposer 12 caractères + majuscules, minuscules, chiffres, caractères spéciaux.
J'espère que la mise à jour prévue aura des critères de MDP plus poussés.
Ensuite concernant la mise à jour du forum, il me semble que phpBB en propose assez régulièrement, donc il ne faut pas attendre la "catastrophe" pour se dire il y a des mises à jour à faire. Sur le web l'obsolescence en matière de sécurité est quotidienne.

Dans le doute, j'ai modifié mon MDP sur MyEleec, mais je ne l'ai pas fait sur mon compte mail car ce n'est pas le même.

Même si je peux paraître "cru" dans mes propos, ce ne sont là que des conseils et je resterai présent sur le site.
Bon courage pour la suite des évènements.
Avatar du membre
christophe
MyEleec de Platine LV2
MyEleec de Platine LV2
Messages : 12457
Enregistré le : mai 14, '07, 10:29
Discipline : Electrotechnique
Académie : Créteil
Qui êtes vous ? : Enseignant
Localisation : Seine et marne
A remercié : 167 fois
A été remercié : 207 fois
Contact :

Re: Piratage du compte MyEleec chez Ionos

Message non lu par christophe »

pwozniak a écrit : nov. 11, '21, 09:43 Bonjour,
J'ai pris note de cette information importante, mais étant webmaster, en plus d'être enseignant, il y a une partie du message qui me dérange un peu...
"Nous vous invitons à changer le mot de passe de vos adresses mails utilisées sur MyEleec ainsi que votre mot de passe sur MyEleec."
Le mot de passe utilisé sur MyEleec est-il enregistré en clair ou avec un chiffrage insuffisant dans la base de données ?
En tout cas n'imposer qu'un mot de passe de 6 caractères est à mon sens une grosse erreur, car même si le mot de passe est enregistré de manière très sécurisée, un mot de passe court peut être découvert en bruteforce très facilement.
Le minimum serait d'imposer 12 caractères + majuscules, minuscules, chiffres, caractères spéciaux.
J'espère que la mise à jour prévue aura des critères de MDP plus poussés.
Ensuite concernant la mise à jour du forum, il me semble que phpBB en propose assez régulièrement, donc il ne faut pas attendre la "catastrophe" pour se dire il y a des mises à jour à faire. Sur le web l'obsolescence en matière de sécurité est quotidienne.

Dans le doute, j'ai modifié mon MDP sur MyEleec, mais je ne l'ai pas fait sur mon compte mail car ce n'est pas le même.

Même si je peux paraître "cru" dans mes propos, ce ne sont là que des conseils et je resterai présent sur le site.
Bon courage pour la suite des évènements.
Bonjour,
C'est Phpbb qui s'occupe du chiffrement des données, ils ne sont pas en clair. je suppose juste dans mon mail qu'un bon pirate peut déchiffrer un encodage MD5 ? Je n'ai aucune idée mais étant donné que c'est un chiffrement utilisé par tous les CMS, j'ose espérer que c'est fiable.
https://fr.wikipedia.org/wiki/MD5

Le forum, ainsi que le site et Moodle sont constamment mis à jour. Pas de problème de ce coté, je sais l'importance des mise à jour.

Encore une fois, ce n'est pas le forum ou moodle ou wordpress qui a été piraté, mais le compte chez Ionos.

Merci pour tes conseils !
Je dois me renseigner si je dois/peux augmenter la complexité des mots de passe sans que cela bloque tous les utilisateurs ?

Christophe
À vaincre sans péril, on triomphe sans gloire.
Image Image Image Image Image Image
Avatar du membre
christophe
MyEleec de Platine LV2
MyEleec de Platine LV2
Messages : 12457
Enregistré le : mai 14, '07, 10:29
Discipline : Electrotechnique
Académie : Créteil
Qui êtes vous ? : Enseignant
Localisation : Seine et marne
A remercié : 167 fois
A été remercié : 207 fois
Contact :

Re: Piratage du compte MyEleec chez Ionos

Message non lu par christophe »

Après quelques recherches, phpbb ne crypte plus en MD5 depuis phpbb3.
Le nouveau système d'encryptage est basé sur la fonction php_hash :
https://www.phpbb-fr.com/forums/viewtop ... 5#p1129485
en effet, il est impossible de décrypter un hash pour des raisons de sécurité et notamment pour se prémunir des vilains hackers (comme toi ? :wink: ). On peut toujours trouver des rainbow tables, mais vu que phpbb semble utiliser sa propre méthode de hashage maintenant, trouver une liste assez complète sera impossible (ou très dur). Une bonne chose pour phpBB :D .
À vaincre sans péril, on triomphe sans gloire.
Image Image Image Image Image Image
Avatar du membre
pwozniak
Nouveau membre LV2
Nouveau membre LV2
Messages : 12
Enregistré le : janv. 16, '13, 20:08
Discipline : Electrotechnique
Académie : Dijon
Qui êtes vous ? : Enseignant

Re: Piratage du compte MyEleec chez Ionos

Message non lu par pwozniak »

MD5 est dépassé depuis presque 20 ans !
D'ailleurs la page Wikipédia que tu cites le dit bien : "Si l'algorithme MD5 présente un intérêt historique important, il est aujourd'hui considéré comme dépassé et absolument impropre à toute utilisation en cryptographie ou en sécurité"
Avec MD5, des chaînes de caractères différentes peuvent avoir un même hachage.
En plus il existe des tables de lien entre "chaîne d'origine" et "hachage MD5", ce qui rend possible, à partir d'un hachage MD5 d'obtenir une chaîne de base qui correspond !

Aujourd'hui la norme est passée aux fonctions de hachage bcrypt ou argon.
Même les SHA ne sont pas fiables à 100%...

WordPress n'est pas super net non plus à ce sujet, car ils utilisent toujours MD5 (bouclé 256 fois avec un "grain de sel" ajouté en route). Ils se justifient en disant que MD5 existe sur toutes les plateformes ! MDR ils imposent php 7.4 minimum pour les dernières versions de WordPress, hors les fonctions bcrypt et argon sont incluses depuis php 5.5 !

Personnellement sur WordPress j'utilise un plugin qui fait passer le hachage à bcrypt.

Bonne continuation.
Avatar du membre
christophe
MyEleec de Platine LV2
MyEleec de Platine LV2
Messages : 12457
Enregistré le : mai 14, '07, 10:29
Discipline : Electrotechnique
Académie : Créteil
Qui êtes vous ? : Enseignant
Localisation : Seine et marne
A remercié : 167 fois
A été remercié : 207 fois
Contact :

Re: Piratage du compte MyEleec chez Ionos

Message non lu par christophe »

Re,
j'ai mis un message entre temps pour expliqué que ce n'est pas en MD5 mais via php_hash.
Il n'y a pas de compte utilisateurs sur Wordpress. La totalité des comptes est sur le forum.
À vaincre sans péril, on triomphe sans gloire.
Image Image Image Image Image Image
Avatar du membre
pwozniak
Nouveau membre LV2
Nouveau membre LV2
Messages : 12
Enregistré le : janv. 16, '13, 20:08
Discipline : Electrotechnique
Académie : Dijon
Qui êtes vous ? : Enseignant

Re: Piratage du compte MyEleec chez Ionos

Message non lu par pwozniak »

Oui j'avais vu, mais ce que j'ai dit était surtout à titre d'information.
Pour WordPress, je parle du site myeleec.fr et tu as forcément au moins un compte : celui d'administration...
Répondre

Retourner vers « Discussions libres »