Nouvelle fuite de données chez Plex, y compris des mots de passe hachés

Plex vient d’envoyer un email à ses clients pour les informer d’un « incident de sécurité ». Ce n’est jamais bon comme entrée en matière. La suite le confirme, car cela « pourrait impliquer les informations de votre compte Plex ».

Sans entrer dans les détails, la société explique qu’un « tiers non autorisé a accédé à un sous-ensemble limité de données client à partir d’une des bases de données ». L’incident de cybersécurité a depuis été circonscrit, mais des informations personnelles ont pu être accédées, notamment des mails, noms d’utilisateur et des mots de passe hachés.

Plex se veut rassurant : aucune donnée des cartes de crédits n’est sauvegardée sur ses serveurs, pas de fuite à craindre à ce niveau donc. Concernant les mots de passe, ils sont « hachés en toute sécurité, conformément aux meilleures pratiques, ce qui signifie qu’ils ne peuvent pas être lus par un tiers ».

« Par mesure de prudence », Plex recommande toutefois de changer de mot de passe et d’en profiter pour cocher la case « Déconnecter les appareils connectés après le changement de mot de passe ». Il est aussi recommandé d’activer la double authentification si ce n’est pas encore fait.

Le nombre de comptes concerné n’est pas indiqué, pas plus que la méthode des pirates pour percer les défenses de Plex.

Pour rappel, Plex avait déjà été victime d’une cyberattaque en 2022, avec les mêmes risques et quasiment le même email envoyé aux clients durant le mois d’août.

Il y a trois ans, il était déjà question d’une « activité suspecte dans une des bases de données […] Il semble qu’un tiers ait pu accéder à un sous-ensemble limité de données comprenant des adresses e-mail, des noms d’utilisateur et des mots de passe chiffrés ». Même cause, même conséquence : il était recommandé de changer de mot de passe.

Voici l’email de 2022 :