Bentokaz - changez vite votre mot de passe because haker

Je relaye une info de Yves
(qui était noyée dans le post https://velorizontal.1fr1.net/t3520p225-bentokaz)

Bentokaz victime des hackers Shocked Je viens d'apprendre que le site avait été attaqué avec comme résultat la publication sur Internet de plus de 2000 adresses email associées aux mots de passe des inscrits. Si vous avez ou êtes utilisateur du site, je vous encourage à changer de mot de passe et encore plus important, si vous utilisez le même sur d'autres sites, les changer aussi. Et le plus rapidement possible si ces autres sites concernent des échanges d'argent. Je suis chagriné par cet "événement indésirable" qui survient malgré mes efforts pour protéger les données utilisateurs au mieux. (Mots de passe cryptés sur la base de données.) Mon embarras est d'autant plus grand que non seulement je ne sais pas comment ils s'y sont pris mais en plus je ne vois pas comment je pourrais faire pour renforcer la sécurité. Ce qui me console, c'est que des sites avec des moyens infiniment plus importants que les miens (OCDE, Yahoo...) ont également été victimes. J'espère que ce phénomène ne se reproduira pas (trop souvent?) m'obligeant à fermer le site.
Pour terminer sur une note positive, je vous souhaite à toutes et tous une excellente fin d'année 2016 et une non moins bonne année 2017
Amicalement,
Yves

Yves fait actuellement ce qu'il peut pour envoyer directement à chacun un mp d'information.
Ce post fait un peu doublon, mais il vaut mieux s'assurer que tout le monde soit prévenu, par un moyen ou un autre.

On note que bentokaz.com n'est pas en connexion "https" et donc tout transite en clair sur le réseau (login , mot de passe, etc..). C'est très vulnérable notamment lorsqu'on y accède par WiFi.

Si le module d'administration n'est pas en accès sécurisé non plus, alors le mode de passe admin est tout aussi facilement piratable par simple lecture des trames réseaux.

Il est aussi possible de détourner le site vers un autre serveur sans que l'utilisateur s'en rende compte. Il tape login / mot de passe sur un site piraté et hop le pirate récupère le tout. Mieux, si l'accès ne s'ouvre pas, l'utilisateur tape tout un tas de mots de passes que l'utilisateur utilise ici ou ailleurs...

Bref, tout ce qui s'accède par login / mot de passe devrait être en "https".

Les sites "php" sont aussi assez vulnérables à l'injection SQL

(Tout ceci vaut aussi pour ce forum d'ailleurs.)