Gmail : non, le mot de passe de votre compte n’a pas été piraté… sauf si vous tombez dans ce piège !

Vous avez certainement vu passer l'information : 2,5 milliards de comptes GmailGmail auraient été compromis, et il faudrait changer son mot de passe de toute urgence. Mais qu'en est-il vraiment ? Tout a commencé le 5 août, lorsque GoogleGoogle a signalé qu'une de ses instances Salesforce avait été piratée. Les hackers ont réussi à dérober certaines informations sur les entreprises utilisant le service, notamment leurs noms et leurs coordonnées. Selon Google, il s'agissait principalement d'informations déjà accessibles publiquement.

Le groupe de pirates en question s'appelle ShinyHunters et l'attaque a eu lieu en juin. Qu'ils aient réussi à pirater un système de Google est particulièrement inquiétant, surtout après les récentes fuites chez Free, Bouygues ou AirAir France. Toutefois, ici les informations volées sont limitées et il ne s'agit en aucun cas de mots de passe.

Une campagne de phishing bien réelle, mais pas nouvelle

Depuis, il semble y avoir une campagne de phishing visant les utilisateurs de Gmail et exploitant les informations volées, à en croire un certain nombre de témoignages sur Reddit. Des internautes aux États-Unis ont reçu un appel avec le préfixe 650 de la Silicon Valley, où un interlocuteur prétendait être un employé de Google. Cette attaque n'a rien de très nouveau, des appels similaires ont lieu depuis des mois, voire des années. Sachez que Google n'appelle jamais ses utilisateurs, et que cette arnaque consiste à les convaincre de valider un changement de numéro de téléphone sur leur compte, ou de réinitialiser leur mot de passe. Pour ce faire, la personne au téléphone prétend que quelqu'un d'autre a tenté d'accéder à leur compte, et qu'ils doivent valider une demande pour que Google puisse sécuriser l'accès. En réalité c'est tout l'inverse.

En conclusion : non, à moins d'avoir reçu un appel d'un inconnu à propos de votre compte Gmail et d'avoir suivi ses indications, vous n'avez aucune raison de vous inquiéter. Toutefois, les recommandations d'usage restent d'actualité. Activez l’authentification à deux facteurs (de préférence en évitant les codes reçus par SMSSMS). Utilisez le Check-up Sécurité de Google pour vérifier l'état de votre compte. Passez aux clés de sécurité (passkeys), un système d'identification plus sûr et sans mot de passe. Et surtout, si quelqu'un vous contacte à propos d'un problème sur votre compte, que ce soit pour Gmail ou tout autre service, n'offrez aucune information et n'effectuez aucune des manipulations demandées.