Les services de notification existants présentaient deux problèmes, selon Julian : la plupart des utilisateurs ignoraient leur existence, et beaucoup se méfiaient de confier leurs identifiants à encore un autre service en ligne.
L'idée
Inverser le modèle : au lieu de demander aux utilisateurs de surveiller les services de fuites, extraire soi-même les données divulguées et envoyer un courriel à chaque propriétaire exposé pour l'informer que ses identifiants sont publics.
En trois jours, Julian a collecté des combinaisons courriel/mot de passe divulguées sur des sites de type PasteBin ; le 19 mai 2015, son outil Canary a envoyé 97 931 courriels d'avertissement pré-rédigés ; fin juin, il avait collecté 300 000 identifiants de connexion et envisageait une nouvelle salve.
Neuf réponses de remerciement et zéro don — « comme la campagne ne m'a pas coûté cher, c'est aussi tout à fait acceptable » ; Julian a qualifié l'expérience de réussite, espérant que beaucoup de personnes aidées n'ont jamais répondu parce que leur filtre anti-spam avait intercepté le courriel.
Contexte
Chaque piratage majeur déverse des combinaisons de courriels et de mots de passe sur le marché noir, et Lily Hay Newman, de Slate, a relevé l'évidence : la plupart d'entre nous ne vérifient jamais si nos identifiants en font partie. « Julian », le blogueur pseudonyme derrière ATechDad, a décidé de vérifier pour nous. En trois jours, il a collecté des données d'utilisateurs divulguées, publiées sur des hébergeurs en texte brut comme PasteBin, à l'aide d'un scraper qu'il a conçu, appelé Canary, qui extrayait automatiquement certaines données des pages web et envoyait des courriels pré-rédigés pour alerter les personnes que leurs identifiants étaient exposés.
L'intuition de conception reposait sur la confiance. Des services d'extraction similaires existaient déjà, écrivait Julian, mais « 1. La plupart des utilisateurs n'ont aucune idée que ces services existent. 2. Beaucoup d'utilisateurs se méfient d'envoyer les informations auxquelles ils tiennent le plus à encore un autre service en ligne. » Sa réponse : les identifiants pouvaient parler d'eux-mêmes — s'ils sont sur PasteBin, le propriétaire devrait être averti, sans inscription requise.
Le 19 mai 2015, Canary a envoyé un courriel à 97 931 personnes dont la cybersécurité était menacée. Motherboard a fait remarquer que beaucoup ignoreraient un courriel ressemblant à du hameçonnage ; Julian a reçu neuf remerciements, aucun don (« ce à quoi je m'attendais »), et fin juin, il avait collecté 300 000 identifiants de connexion, envisageant une seconde salve. « Dans l'ensemble, je considère cette expérience comme une réussite », écrivait-il.
Supprimer l'étape d'inscription a éliminé la barrière de la confiance : les victimes ont appris la fuite sans jamais confier de données à un inconnu.
Tout l'appareillage se résumait à un scraper et à des courriels pré-rédigés — un service public assuré par une seule personne à coût quasi nul.
Le taux de réponse tiède était lui-même le résultat : la notification de fuite par courriel non sollicité fonctionne à peine, ce qui est le problème que les services n'ont toujours pas résolu.
Le déficit de notification est un problème de conception : aller à la rencontre des gens là où la fuite a déjà fait surface, au lieu de leur demander de faire confiance à encore un autre service.
Fin juin 2015, Julian disposait de 300 000 identifiants collectés, de neuf remerciements et d'une décision à prendre concernant une seconde salve de courriels — l'expérience étant documentée publiquement sur ATechDad et couverte par Slate et Motherboard.
VÉRIFIEZ LES SOURCES