5 récentes violations de données pouvant avoir mis vos données en danger

Added 2018-10-02

Les violations de données font partie du mobilier de nos vies numériques. À peine une journée se passe sans qu'une autre entreprise ne divulgue vos données. Et tandis que ces événements se banalisent, quelque chose d'autre a changé en 2018 également.

L’application du règlement général sur la protection des données (RGPD) de l’UE signifie que les entreprises s’engagent désormais à divulguer toute infraction dans les 72 heures. Il peut être difficile de suivre les dernières nouveautés, nous avons donc arrondi certaines des violations les plus remarquables de l’année.

1. Under Armour

Utilisateurs concernés:  150 millions
Données exposées:  Noms d'utilisateur, adresses e-mail et mots de passe hachés

Pour de nombreuses personnes dans le monde entier, l'application de suivi du régime et de l'exercice, MyFitnessPal (MFP), est un compagnon quotidien pour leur parcours de mise en forme. Il n’a donc pas été étonnant que la société de vêtements de sport Under Armour ait acquis MFP dans le cadre de son offre numérique. En mars 2018, Under Armour (UA) a publié une déclaration selon laquelle MyFitnessPal avait été compromis, avec les noms d'utilisateur, les adresses électroniques et les mots de passe hachés des 150 millions d'utilisateurs de l'application exposés.

La société a agi rapidement. Au bout de quatre jours d’apprentissage de la violation, MyFitnessPal a envoyé une mise à jour par courrier électronique à tous les utilisateurs et a mis en place une FAQ site web . Ils ont recommandé à tous les utilisateurs de changer immédiatement leurs mots de passe et de continuer, de manière quelque peu vague, à «apporter des améliorations à leurs systèmes afin de détecter et d'empêcher tout accès non autorisé aux informations des utilisateurs».

Bien que la fuite se soit produite au début de l'année, à compter de septembre 2018, il n'y avait pas eu d'autres mises à jour sur la cause de la violation, ni sur la manière dont UA espérait empêcher de futures attaques. La société n'a pas non plus précisé si elle continuerait à utiliser le hachage SHA-1.

2. British Airways

Utilisateurs concernés:  Inconnu
Données exposées:  Données personnelles et financières du client

Alors que l’été se terminait au début du mois de septembre, British Airways (BA), la plus grande compagnie aérienne du Royaume-Uni, a annoncé qu’elle enquêtait de toute urgence sur le vol d’informations client. Sur leur site d'information sur les incidents , la société a déclaré que le vol concernait «les clients qui avaient effectué des réservations ou modifié leurs réservations […] entre 22 h 58 HN le 21 août 2018 et 21 h 45 HN le 5 septembre 2018.» Les données volées comprenaient les noms, l'adresse électronique, la facturation. adresse et détails de la carte bancaire.

Si vous faites partie des victimes malheureuses de l'attaque, BA vous a promis de ne pas avoir à perdre votre poche comme conséquence directe du vol. Toutefois, il convient de noter qu’ils n’ont pas dit ce qu’ils considéraient comme un «résultat direct». Dans les jours qui ont suivi la divulgation, Le registre rapporté  qu'un script de paiement externe aurait pu être à l'origine de l'attaque. La société de sécurité RiskIQ a déclaré que l'attaque avait probablement été commise par un groupe connu sous le nom de Magecart, qui était responsable d'une attaque très similaire sur Ticketmaster plus tôt en 2018.

Un peu plus d'un an avant l'attaque, BA était également au centre d'une panne d'alimentation informatique massive. L’échec a entraîné l’arrêt brutal des systèmes informatiques de la société, ancrant tous les avions au sol et touchant des milliers de passagers. Bien qu'elle ait fait les gros titres dans le monde entier, BA n'a pas expliqué grand-chose à la cause de la panne sans précédent.

3. TypeForm

Utilisateurs concernés:  Inconnu
Données exposées:  Données d'enquête comprenant des informations personnellement identifiables

Si vous avez rempli un sondage en ligne au cours des dernières années, vous avez probablement utilisé le site Web de collecte de données Typeform. Leurs enquêtes sont populaires auprès des entreprises car elles sont faciles à configurer et conviviales. Les clients de Typeform sont des entreprises et non des utilisateurs finaux. Ainsi, lorsque l'entreprise a découvert une brèche en juin 2018, elle a alerté ses clients.

Typeform site d'intervention en cas d'incident  manque de détails et se concentre sur la manière dont les entreprises devraient informer leurs clients de la divulgation. Tout ce que nous savons sur l’atteinte de Typeform, c’est qu’elle résultait d’un accès non autorisé à une sauvegarde partielle datée du 3 mai 2018. Bien que l’on ne sache pas exactement dans quelle mesure ces données s’étirent en arrière. Comme Typeform a choisi de ne pas fournir de ventilation détaillée, le nombre total affecté n'est pas clair non plus.

Cependant, la liste des organisations impliquées dans la violation est assez longue. Les détaillants britanniques Fortnum & Mason et John Lewis figuraient parmi les victimes, de même que la chaîne de boulangerie australienne Bakers Delight. Parmi les autres victimes connues figurent Airtasker, Rencore, PostShift, Revolut, l’Union des étudiants de l’Université du Middlesex, Monzo, la Commission électorale de Tasmanie, Travelodge et les démocrates libéraux du Royaume-Uni.

4. Exactis

Utilisateurs concernés:  340 millions
Données exposées:  Tout ce qui est imaginable, moins les numéros de sécurité sociale et de carte de crédit

Facebook aborde le scandale Cambridge Analytica Facebook a été impliqué dans ce qui est désormais appelé le scandale Cambridge Analytica. Après être resté silencieux pendant quelques jours, Mark Zuckerberg a maintenant répondu aux problèmes soulevés. Read Article

En juin, Vinny Troia, chercheur en sécurité, a utilisé le moteur de recherche informatique Shodan pour découvrir une base de données contenant 340 millions d’enregistrements. La société de marketing Exactis a laissé la base de données non sécurisée sur un serveur accessible au public. Alors que les 145,5 millions d’archives du hack d’Equifax ont été largement couvertes, la base de données d’Exactis a dépassé celle de 340 millions d’archives. Cependant, contrairement aux données agrégées d'Equifax, la base de données Exactis a été trouvée par un chercheur en sécurité. Il n’existe actuellement aucune preuve indiquant qu’il a été consulté par malveillance.

Exatis est un courtier en données qui négocie nos informations personnelles. C'est ainsi qu'ils ont acquis près de 214 millions de personnes et 110 millions de données d'entreprise. Selon WIRED , les enregistrements incluaient «plus de 400 variables sur une vaste gamme de caractéristiques spécifiques: qu’il fume, sa religion, qu’il ait un chien ou un chat, et des intérêts aussi variés que la plongée sous-marine et les vêtements de grande taille».

5. Timehop

Utilisateurs concernés:  21 millions
Données exposées:  Noms, adresses électroniques, dates de naissance, sexe, codes de pays et numéros de téléphone

Notre nostalgie collective des années écoulées est devenue une grande entreprise. Aucune entreprise n'a été plus en mesure de capitaliser sur cet amour du passé que Timehop. L'application Timehop ​​se connecte à vos réseaux sociaux et refait la surface de vos anciens messages pour vous rappeler ce que vous faisiez ce jour-là. En juillet 2018, Timehop ​​a annoncé qu'il avait interrompu une intrusion de réseau le jour de l'indépendance.

Malgré l'arrêt de l'attaque en un peu plus de deux heures, l'intrus a été en mesure de prendre beaucoup de données. Malheureusement, cela incluait les noms, adresses e-mail, dates de naissance, sexe et, dans certains cas, les numéros de téléphone des 21 millions d'utilisateurs de l'application. Ils ont toutefois pu empêcher l’agresseur d’avoir accès aux publications sur les réseaux sociaux et aux messages privés.

L’attaquant a réussi à accéder aux clés OAuth2 stockées, qui permettent d’accéder aux réseaux sociaux connectés d’un utilisateur. Avant de révéler la violation, Timehop ​​a collaboré avec les réseaux sociaux pour désactiver ces clés, forçant les utilisateurs à authentifier à nouveau les comptes connectés.

Contrairement à beaucoup de leurs contemporains, leur site de l'incident  était clairement présenté. L'attaque a été expliquée à la fois en termes techniques et simples. Ils ont même fourni un tableau facilement assimilable des combinaisons de données consultées et du nombre de personnes affectées. Bien sûr, cela ne réconfortera guère les 21 millions de victimes de l'application nostalgique.

Protégez-vous de la prochaine violation de données

Les services que nous pensions jadis considérés comme sécurisés sont en train de disparaître rapidement, en partie à cause de leurs mauvaises pratiques de sécurité. Vous pouvez même commencer à vous demander si n'importe où sur Internet est sûr. Surtout compte tenu du nombre de fois 10 exemples concrets de collecte de données avec vos informations personnelles la collecte de données a exposé vos informations personnelles . Si vous craignez que quelque chose ne va pas, vous devriez Comment vérifier si vos comptes en ligne ont été piratés vérifier si vos comptes en ligne ont été piratés .

Crédit d'image: stevanovicigor / DepositPhotos