sujet Re: Piratage compte Orange et connaissance des pirates dans mon mail Orange

Piratage compte Orange et connaissance des pirates

jackounette — Tue, 10 Nov 2020 09:23:23 GMT

Bonjour,

Je viens également d'avoir un piratage, j'ai été averti par mail grace à l'option mobile connect (merci orange)

j'ai tout de suite changé mon mail, mais j'ai mis un moment à m'apercevoir que je ne recevais plus de mail et à trouver qu'il y avait une redirection dans une autre boite mail dans les préférences. Ceci peut etre pratique dans d'autres cas, mais très dangereux en cas de piratage !! Ne faudrait il pas supprimer cette option ou du moins mieux la sécuriser? Bien cordialement.

Re: Piratage compte Orange et connaissance des pirates

Daniel35 — Sat, 07 Nov 2020 12:43:18 GMT

Bonjour @jackounette

@jackounette a écrit :

Je viens également d'avoir un piratage

Mot de passe trop faible ou Phishing bien ficelé.??

Au moins avec Mobile connect le pirate n'a pas pu changer ton MdP.

En tout cas change le tien par un très solide.

@jackounette a écrit :

ou du moins mieux la sécuriser?

C'est ce que plusieurs membres de ce forum ont aussi demandé à corps et à cris, sans succès.

Déjà:

- Il faut que Mobile connect soit une véritable double authentification. Alors qu'aujourd'hui, l'accès par MdP reste toujours possible.

- ou au minimum que toute modif dans les paramètres du compte ou de l’espace client ne puisse se faire sans validation par Mobile connect.

Orange finira bien un jour par mettre ça en place. Voeu pieu (soupir...).

Éventuellement, regarde aussi ce tuto de @Ancien Membre pour les actions curatives après piratage:

https://communaute.orange.fr/t5/Trucs-et-astuces/Le-piratage-de-compte-Causes-effets-comment-le-pr%C3%A9venir-que/ta-p/1805844

NB : j'ai déplacé ton post pour en faire ton propre sujet.!

Cordialement
Daniel35
.

Re: Piratage compte Orange et connaissance des pirates

jackounette — Sat, 07 Nov 2020 13:34:59 GMT

Re bonjour, en fait le pirate a pu quand meme rentrer dans ma messagerie par le mot de passe qu'il avait (je ne sais comment) et mettre une boite de renvoie. et ce malgres mobile connect qui a qd meme permis de nous mettre au courant et ainsi de changer rapidement : le mot de passe, mais le mal était déjà fait( contacts récupérés et effacés (heureusement tjrs ds la corbeille !). A conseiller à tous (si on a un mobile orange uniquement)

Bien cordialement

Re: Piratage compte Orange et connaissance des pirates

Daniel35 — Sat, 07 Nov 2020 17:28:28 GMT

Bonjour @jackounette

@jackounette a écrit :

le mot de passe qu'il avait (je ne sais comment)

- Ton mot de passe: combien de caractères, structuré comment, pas changé depuis quand.?

Un MdP de 8 caractères ou moins, non aléatoires, sans mélange majuscules/minuscules/chiffres/caractères spéciaux, ou pire avec mots du dictionnaire (noms communs ou propres) est assez facile à cracker aujourd'hui par les robots des pirates de tous poils. Mini aujourd'hui 12 caractères et tout mélangés 4 types de caractères.

- Ou réponse à un message de Phishing bien ficelé.?

@jackounette a écrit :

mettre une boite de renvoi. et ce malgré mobile connect

Et oui. Pour l'instant Mobile connect n'est pas encore au point chez Orange. Pas une vraie double authentification car accès au compte via MdP toujours possible., et il n'empêche pas non plus de modifier les paramètres du compte comme tu l'as indiqué.

Mais:

- Mobile connect prévient quand un intrus se connecte avec ton compte.

- on ne peut plus changer le mot de passe sans valider via smartphone. Ce qui évite des emm..bêtements pour récupérer l'accès au compte.

- et en cas de changement de mot de passe, ça force la déconnexion de tous les terminaux en cours, dont celui du pirate.

Dont mieux vaut l'utiliser comme tu le conseilles fort justement.!.

Bonne continuation.

Cordialement
Daniel35
.

Re: Piratage compte Orange et connaissance des pirates

Jakounette — Tue, 10 Nov 2020 09:22:43 GMT

merci pour ces réponses très précises . C'est très gentil.

Pour le mot de passe cela m'étonne car j'ai comme tu le conseilles 11 caractères : mélange chiffres et lettres et caractères spéciaux. Changé depuis moins d'1 an.

Je pense qu'il a trouvé ce mot de passe sur un site pas trop protégé où on a utilisé le même code. ....... ce qui n'est vraiment pas à faire. A noter : la page assistance orange sur le piratage est à conseiller . Bonne soirée.

Re: Piratage compte Orange et connaissance des pirates

JusteEnPassant — Mon, 09 Nov 2020 14:10:03 GMT

Bonjour Jakounette,

Je n'interviens que très peu sur ce forum, les autres contributeurs faisant cela à peu près bien ( ;o) ), mais votre mésaventure est un cas d'école qu'il me semble très important ici de souligner, car se faire pirater son compte Orange en ayant pourtant activé Mobile Connect, démontre l'urgence d'une bien meilleure implémentation de cette technologie, et notamment d'une véritable authentification à double facteur par le biais justement de cette technologie ; ça c'est la première remarque à destination d'Orange, sachant que même Blizzard (éditeur de jeux vidéos) fait bien mieux qu'eux avec son propre Authenticator...

A bon entendeur...

Maintenant, vous concernant Jakounette, et c'est déjà très bien, puisque vous reconnaissez en partie votre maladresse :

1- on n'utilise jamais, ô ! grand jamais, le même mot de passe pour plusieurs sites à la fois ; ça c'est comme dupliquer sa clé d'entrée à l'infini ; c'est une très grosse erreur...

2- un mot de passe "très solide" n'est en rien constitué de seulement 11 caractères ; ce serait d'ailleurs vraiment bien que les intervenants habituels du forum intègre eux aussi ce paramètre une bonne fois pour toutes dans leurs commentaires, puisque même 12 caractères ne sont plus du tout suffisants en 2020 ; le simulateur de la force combinatoire d'un mot de passe se trouve ici et est accessible à tous ; bonne lecture :

https://www.ssi.gouv.fr/administration/precautions-elementaires/calculer-la-force-dun-mot-de-passe/

Comme ça, en passant...

Re: Piratage compte Orange et connaissance des pirates

Daniel35 — Mon, 09 Nov 2020 15:14:34 GMT

Bonjour @JusteEnPassant

Merci pour ton intervention.

Cependant:

@JusteEnPassant a écrit :

car se faire pirater son compte Orange en ayant pourtant activé Mobile Connect, démontre l'urgence d'une bien meilleure implémentation de cette technologie, et notamment d'une véritable authentification à double facteur

C'est bien ce que j'ai dit aussi sans mon post précédent.!

Et on est d'accord : il est plus que temps que Orange propose une double authentification... à condition que ça soit obligatoire. Pour que les clients ne disent pas "trop compliqué pour moi" et continuent à utiliser le nom de leur chat.!

@JusteEnPassant a écrit :

Maintenant, vous concernant Jakounette, et c'est déjà très bien, puisque vous reconnaissez en partie votre maladresse :

1- on n'utilise jamais, ô ! grand jamais, le même mot de passe pour plusieurs sites à la fois ; ça c'est comme dupliquer sa clé d'entrée à l'infini ; c'est une très grosse erreur...

Effectivement @jackounette a admis que c'était une erreur. Elle ne le fera plus, promis.

@JusteEnPassant a écrit :

2- un mot de passe "très solide" n'est en rien constitué de seulement 11 caractères ; ce serait d'ailleurs vraiment bien que les intervenants habituels du forum intègre eux aussi ce paramètre une bonne fois pour toutes dans leurs commentaires, puisque même 12 caractères ne sont plus du tout suffisants en 2020 ; le simulateur de la force combinatoire d'un mot de passe se trouve ici et est accessible à tous.

Si tu fréquentes un peu ce forum, ce tuto de @fredolerouge y est mentionné régulièrement:

https://communaute.orange.fr/t5/Trucs-et-astuces/Votre-mot-de-passe-et-sa-s%C3%A9curit%C3%A9/ta-p/1926804

où un MdP de 12 caractères aléatoires, à usage unique, y est préconisé (parmi 90 caractères / majuscules, minuscules, chiffres, caractères spéciaux).

D'une part il ne faut pas confondre, tu le sais, un mot de 64 caractères binaires (0,1) et un mot de passe de 12 caractères parmi 90, comme le précise le doc de l'ANSSI, d'autre part le tuto de @fredolerouge rappelle aussi qu'il faut changer le MdP régulièrement, et enfin, même si les pirates ont le temps pour eux et pour faire tourner leur robots, il faut intégrer le paramètre supplémentaire du nombre d'essais de MdP successifs autorisés dans un laps de temps chez Orange, ce qui repousse de beaucoup l'échéance. D'où l'intérêt accru de le changer régulièrement.

Le piratage de MdP tient plus aujourd'hui, je pense, outre les MdP trop faibles, du Phishing bien ficelé ou de l'usage multiple du MdP à divers usages.

En conclusion:

Pour aller dans ton sens: ce n'est pas beaucoup plus compliqué de gérer un MdP de 16 caractères plutôt que 12. Autant ne pas s'en priver.

Vivement que Orange mette en place la double authentification.

Cordialement
Daniel35
.

Re: Piratage compte Orange et connaissance des pirates

JusteEnPassant — Mon, 09 Nov 2020 16:49:34 GMT

Bonsoir Daniel35,

Une remarque importante toutefois, la recommandation de l'ANSSI relative aux mots de passe d'au moins 12 caractères concerne uniquement les mots de passe utilisés de façon local, et donc en aucun cas ceux utilisés sur Internet...

"Mot de passe de 12 caractères dans un alphabet de 90 symboles - Taille minimale recommandée par l’ANSSI pour des mots de passe ergonomiques ou utilisés de façon locale."

https://www.ssi.gouv.fr/administration/precautions-elementaires/calculer-la-force-dun-mot-de-passe/

Le post important de fredolerouge qui reprend une note ANSSI datant quant à elle de 2012 (hum, de mémoire : Intel Xeon W)... devrait donc être mis à jour en 2020 (re-hum, tant les vitesses de calcul ne cesseront jamais de croitre : Apple A14X Bionic), afin d'inviter les lecteurs du forum à s'adapter aux technologies de notre temps, tout en renforçant dynamiquement leurs propres outils de protections...

Donc oui, 16 caractères, voire beaucoup plus encore... "Autant ne pas s'en priver." ( ;o) )

Sinon, je suis amplement d'accord avec toi bien évidemment pour tout le reste.

Comme ça, en passant.

Re: Piratage compte Orange et connaissance des pirates

fredolerouge — Mon, 09 Nov 2020 18:06:36 GMT

salut @JusteEnPassant

@Daniel35

il s'agit de la dernière note à jour publiée sur le site de l'ANSSI :

https://www.ssi.gouv.fr/guide/mot-de-passe/

elle n'a pas évolué depuis

et c'est valable aussi bien localement que sur le net

ce qui compte, c'est la "brosse à dents"

Re: Piratage compte Orange et connaissance des pirates

jackounette — Mon, 09 Nov 2020 18:17:23 GMT

Merci à tous pour ces conseils

J'ai une question technique : comment peut-on recevoir dans notre boite un message dont le destinataire n'est pas nous ? c'est curieux n'est-ce pas ? le seul rapport est notre adresse postale

: exemple une adresse postale = "le clos des lilas" et on reçoit un mail avec destinataire = leclosdesvillas@xx.xx

Re: Piratage compte Orange et connaissance des pirates

Daniel35 — Mon, 09 Nov 2020 18:48:47 GMT

Bonjour @jackounette

Tu es bien destinataire, mais en copie cachée. Regarde dans l'entête derrière le champ X-Bcc

Le spammeur met ce qu'il veut comme Nom dans le champ émetteur visible.

Il a récupéré sans doute ton adresse lors du piratage. Et il arrose toi et tes contacts (si tu en avais dans ton webmail) avec des éléments "connus" pour mieux tromper ses proies, et avec les liens frauduleux inclus dans le message.

Ces mails = poubelle illico.

Cordialement
Daniel35
.

Re: Piratage compte Orange et connaissance des pirates

JusteEnPassant — Wed, 11 Nov 2020 08:55:31 GMT

Bonjour,

Attention fredolerouge, car en écrivant cela, vous partez du principe que ce qui fut écrit en juin 2012 serait immuable dans le temps, et encore aujourd’hui en 2020...

Or non ! C’est faux ! Et ceci d’autant plus que les technologies elles aussi évoluent... En outre, il y a une nuance de taille entre écrire « au moins 12 caractères » comme c’est le cas de cette note de l’ANSSI datant je le répète, de 2012, et réduire cela à « 12 caractères » comme c’est le cas de votre post...

Enfin, en écrivant ce post, j’imagine que vous saviez que depuis une directive européenne datant de 2016, Orange fait désormais partie du cercle restreint des OIV ?

Si oui, j’imagine que vous saviez également ce que signifie l’acronyme SIIV dont les décisions datent quant à elles de 2018 ?

Donc voilà... Et je précise ici au passage, que pour tout ce qui n’est pas étiqueté OIV, c’est bien aux délibérations de la CNIL relatives aux mots de passe datant de 2017, auxquelles on peut se reporter...

Google et Legifrance sont nos amis...

Et pour des mots de passes forts sur Internet, ce sont donc bien au moins 16 caractères pris parmi 90 symboles, voire plus, sachant que tout OIV doit aussi faire l’effort en 2020 de communiquer auprès de ses utilisateurs sur la taille maximale des mots de passe supportée techniquement par son SIIV ; cela fait d’ailleurs partie des choses qui seraient à faire il me semble afin de sensibiliser les utilisateurs quant à la force réelle de leurs mots de passe...

Se reporter au lien du simulateur de la force des mots de passe de l’ANSSI que j’ai déjà indiqué, et qui lui ne date pas de 2012...

Un mot de passe fort unique + Mobile Connect, et le tour est joué (jackounette aurait été bien mieux protégée), enfin au moins provisoirement en attendant une véritable authentification à double, voire à triple facteur :

- à double facteur : ce que je sais et ce que je possède !

- à triple facteur : ce que je sais, ce que je possède et ce que je suis !

Comme ça, en passant...

Re: Piratage compte Orange et connaissance des pirates

Jakounette — Wed, 11 Nov 2020 09:02:26 GMT

Bonjour a tous.

Le piratage de ma boîte a été fait à noter : par un client Orange avec une adresse mail identique même nom prénom et juste un - au lieu du .

Super pour de faire passer pour moi.

J'ai envoyé tous les éléments a abuse.

A mon avis :

- orange a toute les infos sur son client

- on a aucun retour

- la boîte du pirate devrait être supprimée

Qu'en pensez vous ?

Re: Piratage compte Orange et connaissance des pirates

fredolerouge — Wed, 11 Nov 2020 10:08:29 GMT

mon très cher @JusteEnPassant

@Daniel35

j'adore les pseudos de ton genre qui ne postent que pour dédire et critiquer les autres en prenant certains choses et laissant de côté d'autres

oui je sais ce qu'est un OIV, pas la peine de bombarder tes réponses d'acronymes, de directives ou autres organismes officiels dans le but de vouloir afficher une supériorité que tu n'as pas forcément (tu crois être le seul à savoir ce que c'est ?)

réduire mon topo à "12 caractères" traduit une volonté manifeste de dédire, passant allègrement sous silence le reste des conseils donnés dans le même topo dans le but de renforcer sa propre sécurité.

plus de 12 caractères ? tu peux créer un mot de passe de 35 caractères en alignant l'alphabet et les chiffres

certes 35 caractères, mais piraté en une fraction de secondes

donc ne réduisons pas la robustesse d'un mot de passe au seul nombre de caractères qui le composent, c'est bien plus que ça

et non je n'ai pas dit que c'était immuable, mais une base incontournable

la double authentification, nous militons tous pour que ce soit le cas et depuis pas mal de temps, tu n'es pas le seul

juste comme ça en passant

PS : et non, pas de google pour moi, pas de ce moteur de recherche édité par une GAFAM qui collecte tes données de navigation et de recherche dans le but de les revendre, c'est ça aussi agir pour sa sécurité

Re: Piratage compte Orange et connaissance des pirates

JusteEnPassant — Wed, 11 Nov 2020 10:56:38 GMT

Fredolerouge, relis bien tous mes commentaires, car j'ai bien écrit dans mes premiers commentaires que ton post était important mais qu'il méritait simplement une petite mise à jour, c'est tout...

Après, chacun voit midi à sa porte, en attendant, les informations sont là en 2020...

Comme ça, juste en passant... Et sans rancune...