LeakBase et Tycoon 2FA démantelés : et votre PME ?

Bonne nouvelle sur le front de la cybersécurité : les autorités européennes viennent de démanteler deux plateformes criminelles très actives, LeakBase et Tycoon 2FA. Mauvaise nouvelle : si ces noms ne vous disent rien, c'est normal — mais leur existence vous concernait directement. Car ces services vendaient, entre autres, des identifiants d'entreprise volés. Les vôtres, peut-être. Voici ce que vous devez savoir, sans jargon, et surtout ce que vous pouvez faire dès aujourd'hui.

LeakBase et Tycoon 2FA : c'était quoi, exactement ?

Imaginez un marché noir en ligne, accessible uniquement aux cybercriminels, où l'on achète et vend des données volées comme on achète des fournitures de bureau. C'est précisément ce qu'était LeakBase : un forum spécialisé dans la revente de bases de données issues de piratages. Des millions d'adresses e-mail, de mots de passe, de numéros de carte bancaire — issus de fuites chez des entreprises, des plateformes SaaS, des prestataires cloud — y étaient proposés à la vente pour quelques dizaines d'euros. Tycoon 2FA, lui, était encore plus sophistiqué : c'est ce qu'on appelle un kit de phishing-as-a-service, c'est-à-dire un outil clé en main loué à des escrocs pour contourner la double authentification (le fameux code reçu par SMS). En clair, même si vous aviez activé cette protection, Tycoon 2FA permettait de la neutraliser. Ces deux plateformes ont été fermées grâce à une opération coordonnée impliquant Europol et plusieurs pays. C'est une victoire réelle — mais qui ne doit pas faire baisser la garde.

Comment les identifiants de votre PME peuvent se retrouver dans ces bases ?

Votre entreprise n'a peut-être jamais été piratée directement. Pourtant, vos données volées entreprise peuvent très bien circuler sur ce type de forum. Comment ? Par un effet de rebond que beaucoup ignorent. Un de vos collaborateurs utilise la même adresse e-mail professionnelle pour s'inscrire sur un site de e-commerce, un outil de productivité gratuit ou une plateforme RH externe. Ce service tiers se fait pirater. La base de données — avec l'adresse e-mail et le mot de passe — est revendue sur LeakBase. Si ce mot de passe est identique ou similaire à celui utilisé pour accéder à la messagerie d'entreprise, au logiciel de comptabilité ou à l'espace cloud de la PME, le chemin est tout tracé pour un attaquant. C'est le problème dit de la réutilisation des mots de passe, et c'est l'une des premières causes de compromission des comptes professionnels en France. Un mot de passe compromis PME peut ainsi ouvrir des portes que vous pensiez fermées.

Comment savoir si mes identifiants ont été volés ?

C'est la question que tout dirigeant devrait se poser régulièrement — et la réponse est plus simple qu'on ne le croit. Plusieurs outils gratuits et fiables permettent de vérifier en quelques secondes si une adresse e-mail associée à votre entreprise apparaît dans des fuites de données connues. Le plus utilisé est Have I Been Pwned (haveibeenpwned.com) : vous entrez votre adresse e-mail professionnelle, et le site vous indique si elle a été impliquée dans une fuite, et laquelle. Google propose également une fonctionnalité similaire dans son gestionnaire de mots de passe, tout comme certains antivirus d'entreprise. Si le résultat est positif, pas de panique — mais agissez vite. Cela ne signifie pas que votre réseau est compromis, mais que le mot de passe associé à cette adresse doit être changé immédiatement, partout où il est utilisé. Et si vous ne savez pas où il est utilisé, c'est justement le problème à régler en priorité.

Ce que vous pouvez faire dès maintenant

1. Vérifiez vos adresses e-mail professionnelles sur haveibeenpwned.com — faites-le pour vous, mais aussi pour vos collaborateurs clés (direction, comptabilité, RH). C'est gratuit, ça prend deux minutes, et ça peut tout changer.

2. Changez immédiatement tout mot de passe signalé comme compromis, en commençant par les accès les plus sensibles : messagerie, logiciel de facturation, espace cloud, accès bancaire en ligne.

3. N'utilisez jamais le même mot de passe pour un usage professionnel et personnel. Si un service tiers est piraté, vos accès d'entreprise restent protégés.

4. Activez la double authentification (2FA) sur tous vos outils professionnels, même si Tycoon 2FA prouvait qu'elle peut être contournée dans certains cas — elle reste un obstacle majeur pour l'immense majorité des attaques.

5. Adoptez un gestionnaire de mots de passe d'entreprise (Bitwarden, 1Password, Dashlane Business) : il génère des mots de passe uniques et complexes pour chaque service, et vos collaborateurs n'ont plus d'excuse pour réutiliser le même partout.

Le démantèlement de LeakBase et Tycoon 2FA est une bonne nouvelle. Mais d'autres plateformes existent, et de nouvelles émergeront. La vraie protection, c'est de rendre vos identifiants inutilisables même s'ils sont volés. C'est à votre portée, aujourd'hui.