Ce site est optimisé pour être consulté depuis un navigateur moderne dans lequel JavaScript est activé.

Compte gmail "piraté"

Ayral

Pas le mien, que je n'utilise d'ailleurs pas pour le courrier. mais celui d'un ami, du type nom.prénom@gmail.com
Le "pirate" a trouvé le mot de passe, piqué tout le carnet d'adresse, puis changé le mot de passe (ou fermé le compte). Puis il a ouvert un compte du type prénom.nom1@gmail.com, du quel il a envoyé un mail à tout le carnet d'adresse pour essayer de taper du fric aux amis de mon ami. Dont moi. Mais la syntaxe du message était loin d'avoir le niveau de celle de mon ami, qui de plus ne taperait jamais les potes.
Savez vous si c'est fréquent, facile, possible, et comment ?
Comment s'en prémunir ?
J'ai une nièce à qui c'est arrivé sur son compte de courrier yahoo, du moins le dit elle, mais je ne la croyais qu'à moitié. Jusqu'au coup du compte gmail.

seb24

Ayral a écritPas le mien, que je n'utilise d'ailleurs pas pour le courrier. mais celui d'un ami, du type nom.prénom@gmail.com
Le "pirate" a trouvé le mot de passe, piqué tout le carnet d'adresse, puis changé le mot de passe (ou fermé le compte). Puis il a ouvert un compte du type prénom.nom1@gmail.com, du quel il a envoyé un mail à tout le carnet d'adresse pour essayer de taper du fric aux amis de mon ami. Dont moi. Mais la syntaxe du message était loin d'avoir le niveau de celle de mon ami, qui de plus ne taperait jamais les potes.
Savez vous si c'est fréquent, facile, possible, et comment ?
Comment s'en prémunir ?
J'ai une nièce à qui c'est arrivé sur son compte de courrier yahoo, du moins le dit elle, mais je ne la croyais qu'à moitié. Jusqu'au coup du compte gmail.

J'ai eu y'a moins d'un mois une personne qui a essayé de se connecter sur mon compte Gmail avec mon mot de passe. Ça a été bloqué par google car dans une zone géographique inhabituelle. Du coup j'ai eu le temps de changer de mots de passe. Je sais pas comment ils l'ont récupérer, mais vu que je l'utilise depuis plusieurs années à pas mal d'endroits différent je suppose que ça à fuité à un moment.

Ar vuoc'h

Ayral a écritComment s'en prémunir ?

Un bon mot de passe (mélange de caractères + longueur correcte) et le changer régulièrement. En plus fait travailler la mémoire.

jerome33

Je ne crois pas que cela dépende réellement de la qualité du mot de passe. Les pirates obtiennent le MDP le plus souvent de façon "sociale" semble-t-il.
J'ai un copain qui a vécu la même histoire que celle que raconte Ayral. Mais il m'a avoué avoir répondu à une soit-disant demande urgente par mail de google qui avait besoin de son mot de passe pour vérifier la sécurité de son compte blablabla. Bilan on a tous reçu un mail alarmiste en son nom, disant qu'il était coincé à l'étranger et qu'il avait besoin qu'on lui vire de l'argent le plus vite possible, blabla.
Le phishing demande moins de compétence que le brut-force et donne encore de bons résultats apparemment...

Hober Mallow

J'ai eu une tentative à peu près similaire sur mon compte laposte qui me demandait mon nom de compte et mon mot de passe, tout en me précisant que mon compte allait être temporairement fermé pour des raisons de sécu.
Laposte ayant déjà mon adresse et mon MDP dans ses bases de données et lançant régulièrement des alertes au phishing précisant qu'il ne demandait jamais le MDP de quelqu'un, j'ai effacé le message, mais je dois dire qu'il était plutôt bien rédigé pour changer.

[supprimé]

Hober Mallow a écritJ'ai eu une tentative à peu près similaire sur mon compte laposte qui me demandait mon nom de compte et mon mot de passe, tout en me précisant que mon compte allait être temporairement fermé pour des raisons de sécu.

En aucun cas une banque,une organisation quelconque, un fournisseur de services etc etc, demanderas à un de ses "clients" de transmettre par courriel son mot de passe. Jamais...

maxpoulin64

unicorne a écrit
Ayral a écritComment s'en prémunir ?
Un bon mot de passe (mélange de caractères + longueur correcte) et le changer régulièrement. En plus fait travailler la mémoire.

Et activer la vérification en deux étapes (et sur les autres services aussi pour ceux qui le supportent). C'est un peu chiant à utiliser parfois, mais de combiner quelque chose que l'on sait et quelque chose que l'on possède (un téléphone dans ce cas) est généralement très efficace. Même si mon mot de passe vient qu'à fuir pour une raison quelconque, l'attaquant a besoin de mon smartphone pour accéder au compte et pour réaliser des opérations sensibles. Du coup même si tu utilises une machine Windows, te tape un keylogger ou une autre bête bien féroce, tout ce que ça fait c'est que tu recois une notification sur ton smartphone qui t'avertis d'une tentative de connexion à un autre endroit. Tu change le password, aucun dégât.

Ça reste pas parfait comme méthode (une série de circonstances bien particulières pourraient parvenir à obtenir tout le nécessaire pour désactiver la vérification changer le mot de passe virer la question secrète et tout le bazard), mais ça complique assez la chose pour que les attaques génériques échouent.

http://imgur.com/a/UT7Ga

Ar vuoc'h

C'est vrai que c'est une bonne idée la confirmation par code sur le téléphone.

Sinon, j'avais vu dans je ne sais plus quelle boite mail, j'avais la possibilité de choisir (peut-être Facebook ?) un code à usage unique. Quand tu te connectes occasionnellement sur un pc qui n'est pas sur (c'est à dire tout autre pc que le tien ^^) ça peut être très pratique.

pierrecastor

Y'a un moment, je m'était fait "pirater" mon compte hotmail qui me servais de boite à spam, il avait un mot de passe simple que je n'avais jamais changer depuis sa création y'a plus de 10 ans.

Mais dans mon cas, mon compte servais pour envoyer du spam à mes contacts ainsi qu'a des contact ajouter par le spammeur.

Ayral

maxpoulin64 a écrit Ça reste pas parfait comme méthode (une série de circonstances bien particulières pourraient parvenir à obtenir tout le nécessaire pour désactiver la vérification changer le mot de passe virer la question secrète et tout le bazard), mais ça complique assez la chose pour que les attaques génériques échouent.

Tout un bazar quand même rien que pour relever ses messages Gmail, non ?

seb24

Ayral a écrit
maxpoulin64 a écrit Ça reste pas parfait comme méthode (une série de circonstances bien particulières pourraient parvenir à obtenir tout le nécessaire pour désactiver la vérification changer le mot de passe virer la question secrète et tout le bazard), mais ça complique assez la chose pour que les attaques génériques échouent.
Tout un bazar quand même rien que pour relever ses messages Gmail, non ?

Pour Gmail la double vérification se fait qu'une fois. En gros la première fois que tu t'identifie avec une machine differente il l’envoi un code par SMS que tu dois entrer. Une fois fait ton mot de passe est suffisant. Et je crois que tu peux gérer/voir les machines qui ont été autorise. Du coup ca reduit pas mal les possibilité de piratage.

Ayral

Je viens de le faire pour mon propre compte google. Merci du conseil.

pierrecastor

J'ai aussi l'impression que les gros service type hotmail ou gmail sont bien plus visé que les plus petit comme laposte.net.

Ayral

J'ai donc passé mon compte Google en double identification.
Mais du coup je ne peux plus relever ma boîte Gmail depuis Thunderbird, ce dont j'avais pris l'habitude. Même si je reçois très peu de courriers sur ce compte, ça me pose problème.

Je viens aussi de constater que je ne peux plus connecter Gthumb sur mes albums photos pour gérer mes albums web Picasa, que j'alimentais et mettais à jour depuis là. Ennuyeux.
Comment faut-il faire ? Je n'ai pas l'application Picasa, et ne compte pas l'installer, d'ailleurs je crois qu'elle n'est plus compatible Linux.

Edit Je viens de trouver, c'est prévu dans la gestion du compte en double identification; il suffit d'ajouter des applications et d'obtenir le mot de passe... Très rapide et simple.

Re edit: pour envoyer du courrier Gmail depuis Thunderbird, il faut refaire la manœuvre pour le mot de passe du compte smtp de google.

Killian.Fr

Salutation,
Je conseil à ton ami et à toi également si l'envie te viens de faire un mot de passe à rallonge avec au moins :
- Une majuscule
- Une minuscule
- Un chiffre
- Et quelque chose qui ne veux rien dire du style Pokn159azdC
Voili voila 🙂

maxpoulin64

Killian.Fr a écritSalutation,
Je conseil à ton ami et à toi également si l'envie te viens de faire un mot de passe à rallonge avec au moins :
- Une majuscule
- Une minuscule
- Un chiffre
- Et quelque chose qui ne veux rien dire du style Pokn159azdC
Voili voila 🙂

xkcd obligatoire: http://xkcd.com/936/

Les caractères spécieux n'ajoutent pas nécessairement de sécurité face à un mot de passe simple mais plus long. Surtout si on remplace des lettres par des chiffres style 1331 5p34k étant donné que les logiciels de bruteforce ont des règles pour essayer ces combinaisons communes. La plupart du temps les mots de passe fuient plutôt que d'être crackés. Tant que le mot de passe ne peut pas être deviné facilement, personne ne va se risquer d'essayer une attaque bruteforce sur un service comme gmail, trop long et trop évident, après plusieurs essais le hacker va se faire ban. Ça peut être utile sur les sites moisis qui utilisent seulement md5() pour les mot de passe, mais à part ça...

Killian.Fr

maxpoulin64 a écrit
xkcd obligatoire: http://xkcd.com/936/

Les caractères spécieux n'ajoutent pas nécessairement de sécurité face à un mot de passe simple mais plus long. Surtout si on remplace des lettres par des chiffres style 1331 5p34k étant donné que les logiciels de bruteforce ont des règles pour essayer ces combinaisons communes. La plupart du temps les mots de passe fuient plutôt que d'être crackés. Tant que le mot de passe ne peut pas être deviné facilement, personne ne va se risquer d'essayer une attaque bruteforce sur un service comme gmail, trop long et trop évident, après plusieurs essais le hacker va se faire ban. Ça peut être utile sur les sites moisis qui utilisent seulement md5() pour les mot de passe, mais à part ça...

Je note 🙂

[supprimé]

Aux choix de mots de passe forts et à l'activation de la double vérification de Google, j'ajouterais qu'il est indispensable :
- de choisir des mots de passe différents pour tous vos comptes (c'est sans doute une évidence, mais encore faut-il le faire !)
- de penser à se « déconnecter » correctement lorsqu'on quitte un ordinateur qui n'est pas le sien (ou sur lequel d'autres utilisateurs travaillent...)
- de toujours se méfier d'un ordinateur qui n'est pas le sien sur lequel on s'identifie...
- de se méfier des smartphones sur lesquels on s'identifie par défaut avec nos comptes... (rester prudent dans la gestion des installations d'applications...etc)

😉

Uallas

J'utilise Mask Me une extension Firefox ou Chromium https://www.abine.com/maskme/ tu n'es pas obligé d'utiliser leurs cloud, j'utilise car il y a un compositeur de mot de passe, j'en crée deux et les utilises collé l'un à l'autre ce qui me fait un super mot de passe extra fort, même si le risque zéro n'existe pas, ça complique déjà et surtout même si ça parait anodin, ne stocké jamais vos mots de passe sur votre navigateur quand il demande de l'enregistrer pour vous faciliter la connexion 😉