Base de fuite, un site Web qui indexait et vendait l’accès à des milliards de noms d’utilisateur et de mots de passe volés dans certaines des plus grandes violations de données au monde, a fermé ses portes. Une source proche du dossier affirme que le service a été démantelé lors d’une piqûre des forces de l’ordre qui pourrait être liée au raid de la police néerlandaise sur le Hanse marché du dark web plus tôt cette année.
Base de fuite[dot]pw a commencé à vendre des abonnements en septembre 2016, annonçant plus de deux milliards de noms d’utilisateur et de mots de passe qui ont été volés lors de violations très médiatisées sur des sites comme LinkedIn.com, myspace.com et dropbox.com.
Mais il y a environ deux semaines, BreachTrace a commencé à entendre des utilisateurs de Leakbase qui avaient du mal à joindre le personnel d’assistance normalement réactif et serviable chargé d’aider les clients avec les achats et les problèmes de site.
Ce week-end, Leakbase a commencé à rediriger les visiteurs vers haveibeenpwned.comun service légitime d’alerte de violation géré par un chercheur en sécurité Chasse aux Troies (Le site de Hunt permet aux visiteurs de vérifier si leur adresse e-mail est apparue dans des fuites de bases de données publiques, mais il ne stocke pas les mots de passe de compte correspondants).
Leakbase aurait changé de propriétaire après son piratage en avril. Selon une source au courant de l’affaire mais qui a demandé à rester anonyme, les nouveaux propriétaires de Leakbase se sont essayés au trafic de drogues illicites chez Hansa, un marché du dark web qui a été démantelé en juillet par les autorités néerlandaises.
La police néerlandaise avait secrètement saisi Hansa et l’avait exploitée pendant un certain temps afin de recueillir plus d’informations sur et finalement arrêter bon nombre des principaux vendeurs et acheteurs de drogue de Hansa.
Selon ma source, les informations que les flics néerlandais ont glanées lors de leur prise de contrôle de Hansa ont conduit les autorités à identifier et à appréhender l’un des propriétaires de Leakbase. Cette information n’a pas pu être confirmée et la police néerlandaise n’a pas encore répondu aux demandes de commentaires.
Un message posté le 2 décembre à Leakbase’s Compte Twitter indique que le service a été interrompu, et le message final publié sur ce compte semble offrir aux clients payants un espoir de récupérer les soldes inutilisés stockés sur le site.
« Nous comprenons que beaucoup d’entre vous ont peut-être perdu du temps, donc dans le but d’offrir une compensation, veuillez envoyer un e-mail à [email protected] Envoyez votre nom d’utilisateur LeakBase et combien de temps il vous restait », indique le message. « Nous aurons un afflux important d’e-mails, alors soyez patient, cela pourrait prendre un certain temps. »
Ma source a noté que ces deux derniers messages sont intéressants car ils ne ressemblent à aucune autre mise à jour publiée sur le compte Twitter de Leakbase. Avant le message d’arrêt du 2 décembre, toutes les mises à jour de ce compte étaient effectuées via le client Web de Twitter ; mais les deux derniers ont été envoyés via Mobile Web (M2).
Ironiquement, Leakbase a lui-même été piraté en avril 2017 après qu’un ancien administrateur ait réutilisé le mot de passe d’un compte sur x4b[dot]rapporterun service sur lequel Leakbase s’appuyait à l’époque pour se protéger des attaques par déni de service distribué (DDoS) destinées à mettre le site hors ligne.
X4B[dot]net a été piraté quelques jours seulement avant l’intrusion de Leakbase, et peu de temps après, les mots de passe et noms d’utilisateur en clair de centaines d’utilisateurs de Leakbase ont été mis en ligne par le groupe de hackers se faisant appeler Money Team.
De nombreux lecteurs se sont demandé comment il pouvait être illégal de revendre des mots de passe qui ont été divulgués en ligne à la suite de violations de données majeures. L’argument ici est généralement que dans la plupart des cas, ces informations sont déjà dans le domaine public et qu’il ne peut donc pas être un crime de les indexer et de les revendre.
Cependant, de nombreux experts juridiques voient les choses différemment. En février 2017, j’ai écrit sur des indices liés à une identité réelle pour l’un des administrateurs présumés de Leakedsource, un service très similaire (il convient de noter que le sujet de cette histoire a également été découvert parce qu’il a réutilisé le mêmes informations d’identification sur plusieurs sites).
Dans l’histoire de Leakedsource, j’ai interviewé Orin Kerrdirecteur de la Initiative sur le droit de la cybersécurité à L’Université George Washington. Kerr m’a dit que les propriétaires de services comme Leakbase et Leakedsource pourraient faire face à des accusations criminelles si les procureurs pouvaient montrer ces services destinés aux mots de passe qui sont en vente sur le site pour être utilisés dans la poursuite d’un crime.
Kerr a déclaré que le trafic de mots de passe est clairement un crime en vertu de la Loi sur la fraude et les abus informatiques (CFAA).
Plus précisément, l’article A6 de la CFAA, qui érige en crime « sciemment et avec l’intention de frauder le trafic de tout mot de passe ou d’informations similaires permettant d’accéder à un ordinateur sans autorisation, si…un tel trafic affecte le commerce interétatique ou étranger ».
« La CFAA punit très clairement le trafic de mots de passe », a déclaré Kerr. « La loi dit que [accused] doit faire le trafic de mots de passe en toute connaissance de cause et avec l’intention de frauder, ou d’essayer d’obtenir un accès non autorisé.