Les données personnelles de 142 millions de clients vendues pour… 2 939 dollars en bitcoins sur le darknet

Le Darknet est connu pour abriter des marchés noirs où l’on trouve toutes sortes de biens et de services. Le trafic de données personnelles a commencé à émerger, et met le groupe MGM sous les feux des projecteurs.

Un piratage qui touche des personnalités importantes

MGM Resorts est un groupe de loisirs américain basé à Las Vegas, qui possède notamment les hôtels du même nom. En fin d’année 2019, des hackers avaient réussi à subtiliser les données personnelles de 10,6 millions de clients du groupe.

L’authenticité de la liste a été confirmée par ZDNet et Under the Breach en février 2020. Ces données comprenaient notamment les contacts de nombreuses personnalités publiques : célébrités, PDG, politiciens, …

Il semblerait que la faille soit plus profonde que prévu. Sur un des marchés noirs du Darknet, l’ensemble des données piratées correspondrait à 142 millions de clients. Elles comprennent des contacts, en plus de la liste complète des réservations de certains clients.

https://twitter.com/campuscodi/status/1282855373637070854

Le prix affiché pour obtenir ces données s’élève à 2 939 dollars, une somme à payer en bitcoin ou en monero.

DataViper blâmée à cause du piratage

Selon les hackers, ce serait la société de surveillance de l’intégrité des données du groupe MGM, DataViper, qui serait à blâmer.

Les pirates auraient trouvé une faille qui leur a permis de mettre la main sur la totalité de la base de données de MGM.

Cette allégation a été démentie par les représentants de DataViper. En effet, ils affirment que la société n’a jamais possédé de copie entière de la base de données de MGM. De plus, une des personnes ayant eu accès à un échantillon de données affirme que pour un grand nombre de clients, seuls leurs noms ont été divulgués, sans qu’ils ne soient reliés à leurs contacts ou à des informations financières.

Ces données piratées sont généralement revendues pour permettre à d’autres personnes mal intentionnées d’hameçonner les victimes (phishing) ou encore pour faire du SIM-swapping.

Une fois de plus, cette énorme fuite de données prouve que les grands groupes ne sont pas épargnés par le piratage. Ainsi, la centralisation des données utilisateurs est un point de défaillance, même lorsqu’il ne s’agit pas d’informations financières.

Les données volées peuvent être revendues à prix d’or sur le marché noir. Selon Trend Micro, des identifiants de connexion pour une application en ligne se revendent de 19 à 200 dollars, selon leur degré de sensibilité. Une liste de numéros de téléphone peut coûter entre 300 et 2 000 dollars.

En raison des risques encourus, la prudence reste de mise sur internet. Outre des mots de passe complexes, il est peut-être intéressant d’utiliser des systèmes d’authentification plus fiables.