Surfer sur des sites pornographiques expose à certains dangers, dont celui de voir son identité divulguée sur la Toile.

C’est ce à quoi s’exposent les utilisateurs de dizaines de sites pour adultes dépendant de Paper Street Media, dont les serveurs auraient été piratés.

Des données mises en vente

Les sites TeamSkeet.com ThisGirlSucks.com ou TeenyBlack.com sont notamment visés. Un hacker baptisé TheNeoBoss a mis en vente sur la place de marché underground « Dream Market » les données personnelles de 273.000 utilisateurs. Leur nom, prénom, pseudo, mot de passe, email, adresse IP et physique sont à vendre.

Sur l’annonce, il est précisé que ces données ont été « extraites en mars », révèle BFMTV sur son site internet.

De mauvaises pratiques informatiques épinglées ?

Le site américain Motherboard, rapporte de son côté que le pirate voulait épingler publiquement le site en raison de « leurs mauvaises pratiques (informatiques) ». TheNeoBoss aurait obtenu ces données grâce une attaque de type « injection SQL », une technique qui permet de s’attaquer à une base de données assez répandue sur le web. Ce dernier, bon joueur, aurait alerté la société éditrice sur cette faille.

Il aurait également demandé si elle avait un programme de rémunération pour chercheurs en sécurité (« Bug Bounty Program »), comme c’est parfois le cas.

Un danger bien réel

Opposé au refus de la société, qui « s’en foutait », le pirate a tout bonnement mis en vente les données sur Dream Market contre 0,955 bitcoin, soit environ 366 euros.

Paper Street Media, contacté par Motherboard, explique de son côté que ces données proviennent en réalité d’un piratage subi en 2008. « On nous a demandé une rançon que nous n’avons pas payée. Nous avons procédé à des mises à jour de sécurité et n’avons pas eu de problème depuis. Aucune donnée de cartes bancaires n’a été volée et les comptes en question ne sont plus valides aujourd’hui », explique Jamal Hussain, le directeur technique.

Mais le doute subsiste. Motherboard confie avoir reçu de la part du pirate des captures d’écran de l’outil d’administration de la société daté du 31 mars. Le danger semble donc bien réel pour les utilisateurs.