2 milliards d'enregistrements non cryptés perdus dans une violation de données marketing – Que s'est-il passé et que faut-il faire ensuite

Je me suis réveillé ce matin pour découvrir, encore une fois, que je faisais partie d'un nombre stupide de personnes dont les données personnelles ont été divulguées lors de la dernière grande violation. Troy Hunt a-t-on été pwned? Le service m'a informé que 763 117 271 personnes avaient vu leurs dossiers filtrés par les vérifications IO: y compris des e-mails vérifiés, numéros de téléphone, adresses, dates de naissance, comptes Facebook, LinkedIn et Instagram, pointage du crédit et même des données hypothécaires telles que le montant dû et les taux accusé. Ce qui n'était pas la meilleure des nouvelles pour recevoir la première chose un dimanche matin. Mais ensuite, les choses ont empiré, bien pire. SC Media UK rapporte qu'Andrew Martin, PDG et fondateur de la société de cybersécurité DynaRisk, a révélé que le nombre réel d'enregistrements divulgués était bien supérieur. Combien plus haut? Comment un total de 2 069 145 043 enregistrements non cryptés vous attrapent?

Alors, que s'est-il réellement passé?

Selon Bleeping Computer, une base de données MongoDB non protégée a été découverte par le chercheur en sécurité Bob Diachenko. Diachenko a pu conclure que cette information venait juste d’être publiée sur le marché et qu’il ne s’agissait pas simplement d’un tas de données précédemment enfreintes, comme ce fut le cas récemment. Collection 1 fuite. Après des recherches plus approfondies, Diachenko a été en mesure de retracer la base de données jusqu'au service de validation du courrier électronique d’entreprise VeroS IO. Cette société valide des listes d'adresses électroniques en nombre pour les entreprises souhaitant supprimer les adresses inactives des envois de newsletter. Diachenko a annoncé, aux côtés de la chercheuse Vinny Troia, qu’un total de 808 539 939 enregistrements avaient été divulgués. Le 'mailEmailDatabase' contenait trois sections: Emailrecords, emailWithPhone et businessLeads contenant ces données. Cependant, le directeur général de Dynarisk, Andrew Martin, a également analysé les données et est parvenu à la conclusion que sur le seul serveur exposé au Web, il y avait en fait quatre bases de données, et pas seulement celle-ci. "Notre analyse a été menée sur les quatre bases de données et a permis d'extraire plus de deux milliards d'adresses électroniques. Les trois bases de données supplémentaires étaient hébergées sur le même serveur, qui n'est plus accessible."

Quelles données ont été divulguées?

Le chercheur en sécurité qui a fait la découverte, Bob Diachenko, a déclaré que "bien que tous les enregistrements ne contiennent pas les informations de profil détaillées concernant le propriétaire de l'e-mail, un grand nombre d'enregistrements sont très détaillés". Ces détails comprenaient des données courantes sur les violations, telles que les adresses électroniques et les numéros de téléphone, mais allaient également bien au-delà des bases. Des informations telles que les dates de naissance, les montants des hypothèques, les taux d’intérêt et les comptes de médias sociaux liés aux courriels en question. Mais cela ne s'arrête pas là, vous pouvez également inclure des données de base sur la notation de crédit, les noms de sociétés et les chiffres de revenus.

Devriez-vous être inquiet?

Oui, bien sûr, vous devriez. Après tout, il s’agissait d’une fuite massive du type de renseignements personnels qui constitueraient une mine d’or pour les phishers et les spammeurs de ce monde. Cependant, cette préoccupation peut être atténuée par un certain nombre de facteurs. Le moindre problème est que personne n’a trouvé de preuve convaincante que les données aient été utilisées à des fins criminelles. Bien que les bases de données aient été accessibles pendant un certain temps, dès que le problème a été révélé à Verifications IO, le service a été mis hors ligne et le reste. Ce qui signifie que les méchants alertés par cette nouvelle ne pourront pas l'exploiter. Ce qui est tout aussi important que ce qui était dans la brèche, c'est ce qui ne l'était pas. Il n'y avait donc pas de numéros de sécurité sociale, de numéros de cartes de crédit, de mots de passe. Et, chose importante, il s’agissait d’une fuite et non d’une faille: des chercheurs de White Hat ont découvert que les données étaient accessibles plutôt que des chapeaux noirs cherchant à les exploiter.

Pouvez-vous atténuer vos risques?

Oui, si vous appliquez les bases d’une bonne hygiène en matière de cybersécurité. Ce qui signifie être attentif au risque de phishing, et appliquer plus de scepticisme que d'habitude aux courriers électroniques, messages texte, communications sur les réseaux sociaux et même aux courriels inattendus qui vous demandent de vérifier un lien, d'ouvrir une pièce jointe, etc. Si les acteurs de la menace ont eu accès à ces données, celles-ci fournissent toutes les munitions dont elles ont besoin pour apparaître comme une organisation de confiance dans leurs communications. Si la communication semble réellement authentique et que vous êtes tenté de répondre comme indiqué, ne le faites pas. Au lieu de cela, je conseille toujours aux gens de prendre une minute supplémentaire pour essayer de contacter l'expéditeur par un autre moyen: s'il s'agit d'une entreprise bancaire ou commerciale, recherchez-le sur Google et accédez à son site à l'aide de cette adresse et non du lien de message, idem avec les numéros de téléphone. N'oubliez pas que les banques ne vous contacteront pas par courrier électronique pour des raisons de sécurité et ne vous demanderont pas les détails de votre compte par téléphone. Ne laissez pas votre sens de la sécurité glisser juste parce que quelque chose semble plausible, surtout si une perte d'argent a été évoquée!

Written by yikyak