Lorsqu’une fuite de données touche une plateforme, les attaquants ne s’arrêtent pas là. Ils utilisent les identifiants divulgués pour les tester sur d’autres services. Si vous réutilisez le même nom d’utilisateur, cette seule fuite devient une carte de toute votre vie numérique.
Comment la réutilisation d’un identifiant amplifie une fuite
Les attaquants utilisent le credential stuffing : ils prennent une paire nom d’utilisateur/mot de passe provenant d’une fuite et la testent sur d’autres plateformes. Réutiliser un identifiant rend cette technique triviale. Même si les mots de passe diffèrent, le nom d’utilisateur seul peut révéler des comptes liés, des données de profil et des e-mails de récupération.
Ce qu’une recherche d’identifiant révèle
Une recherche d’identifiant scanne les sources publiques pour trouver votre nom d’utilisateur. Elle montre où l’identifiant existe, quelles plateformes sont actives, et parfois des extraits de profil. Cela vous aide à voir votre surface d’exposition sans vous connecter à chaque site.
Mécanismes et pièges des plateformes
- Soft-404s : Certains sites renvoient un statut 200 OK même pour des utilisateurs inexistants, affichant une page générique. Cela peut entraîner des faux positifs dans les recherches.
- Variantes d’identifiants : Les attaquants essaient des variantes courantes : tirets, chiffres ou points. Une recherche qui ne vérifie que les correspondances exactes manque ces variantes.
- Spécificités des plateformes : Les plateformes de développement comme GitHub exposent souvent des noms réels et des e-mails dans l’historique des commits. Les réseaux de gaming comme Steam peuvent montrer des alias et des listes d’amis.
| Catégorie | Exemples de plateformes | Ce que la réutilisation expose |
|---|---|---|
| Réseaux sociaux | Twitter/X, Instagram, Reddit | Nom réel, localisation, réseau social |
| Plateformes de développement | GitHub, GitLab, Stack Overflow | E-mail, code, employeur |
| Réseaux de gaming | Steam, Chess.com | Pseudonymes, historique de jeu |
| Professionnel | LinkedIn, About.me, Gravatar | Historique professionnel, coordonnées |
Comment vérifier votre exposition
TraceSeek vérifie un nom d’utilisateur sur plus de 3.000 plateformes en 20 à 30 secondes. Le premier scan est gratuit, sans besoin de compte. Il couvre les réseaux sociaux, les plateformes de développement, les sites de médias et de création, les réseaux de gaming, les communautés professionnelles, les forums et les applications de rencontre. Utilisez-le pour trouver où votre identifiant apparaît, puis décidez quels comptes sécuriser ou supprimer.
Limites honnêtes
Une recherche ne trouve que des données publiques. Elle ne peut pas accéder directement aux bases de données compromises, aux profils privés ou aux comptes sous des identifiants différents. C’est un point de départ, pas un audit complet. Pour des vérifications spécifiques aux fuites, utilisez des services comme Have I Been Pwned en complément des recherches d’identifiants.
Que faire ensuite
- Effectuez une recherche d’identifiant pour cartographier vos comptes publics.
- Utilisez des noms d’utilisateurs uniques par plateforme lorsque possible.
- Activez l’authentification à deux facteurs sur les comptes critiques.
- Surveillez les nouvelles apparitions après des fuites de données.