Deezer victime d'une fuite massive de données : comment savoir si vous êtes concerné ?

Une importante fuite de données vient ébranler Deezer. La plateforme française d'écoute de musique en streaming a confirmé l'authenticité d'un piratage massif qui a compromis un peu plus de 250 millions de comptes de ses utilisateurs, dont les données s'échangent désormais sur des forums de pirates. L'incident remonte à 2019 et est le fruit d'une erreur d'un partenaire de Deezer, explique le site spécialisé Zataz, qui rapporte l'information. 

À l'époque, un pirate était parvenu à s'introduire dans les serveurs d'un des fournisseurs de la société pour subtiliser de nombreuses données personnelles et les monnayer dans des cercles d'initiés. Deezer a fait savoir qu'il ne travaillait plus avec cette entreprise depuis 2020. La base de ces données volées aurait été rendue disponible gratuitement sur un site facilement accessible fin décembre, donnant une nouvelle résonnance à l'incident.

Deezer, qui revendiquait quelque 16 millions d'abonnés, dont environ 10 millions payants, en 2022, n'a pas précisé le nombre de comptes utilisateurs concernés. Selon le spécialistes des données volées Damien Bancal, auteur du site spécialisé Zataz, les données de 257 millions d'utilisateurs ont été mises en ligne. D'après l'internaute qui a mis en vente les fichiers, le nombre d'utilisateurs français serait de 46,2 millions, faisant de la France le premier pays affecté par l'incident, devant le Brésil (37 millions) et la Grande-Bretagne (15 millions).

Ces chiffres peuvent sembler importants, comparés aux 16 millions d'inscrits officiels. Ils peuvent s'expliquer par le fait que Deezer, distribué dans 185 pays, est depuis longtemps proposé gratuitement en version d'essai ou avec publicité, particulièrement en France, où la plateforme était, par exemple, automatiquement activée pour les abonnés d'Orange au début des années 2010. Le fichier piraté en 2019 semble donc contenir des informations compilées sur plusieurs années. Des utilisateurs français ayant clôturé leur compte bien avant 2019 ont d'ailleurs indiqué que leur mail faisait partie de l'archive.

Deezer a commencé à prévenir les utilisateurs concernés

Parmi les données piratées, figurent notamment les noms et prénoms des utilisateurs, leurs adresses électroniques, les villes et pays de résidence, leurs dates d'adhésion, leur sexe, leurs dates de naissance et l'identifiant unique attribué à chaque compte. Selon le pirate, une autre archive contiendrait les données propres aux sessions d'écoutes des utilisateurs concernés, comme les artistes écoutés et les préférences musicales.

Deezer a confirmé l'authenticité de ces données dans un message publié sur son site en novembre et mis à jour lundi 3 janvier. La plateforme précise que les informations datent de 2019 et qu'aucune donnée sensible n'a été compromise, comme les mots de passe ou les données bancaires des utilisateurs. Mais elle conseille à ses utilisateurs de modifier leur mot de passe, par précaution. L'entreprise dit avoir notifié l'incident à la Commission nationale de l'informatique et des libertés (Cnil), l'autorité compétente en la matière.

La première plateforme de streaming française explique avoir commencé à contacter les personnes victimes de la fuite de données. Mais toutes ne l'ont pas encore été. Certains utilisateurs expliquent avoir été prévenus par des services tiers spécialisés dans la détection de fuites de données. Il est ainsi possible de vérifier si vous figurez dans le fichier en utilisant le site Have I Been Pwnd qui compile les différentes fuites de données existantes. Il suffit de renseigner l'adresse email utilisée pour vous inscrire sur Deezer pour voir si elle figure dans l'archive mise en vente par les pirates. Le navigateur Firefox propose également un service équivalent.

Les personnes concernées par l'incident s'exposent principalement à des risques de phishing. Leurs informations pourront être utilisées pour les cibler dans des arnaques. Il est donc recommandé de faire preuve de vigilance face aux prochaines sollicitations que vous recevrez, en lien ou non avec Deezer ou la musique.