Posté le mars 21, 2020 à 10:06
OPEN EXCHANGE RATES PIRATÉ ET LES DONNÉES DES CLIENTS POTENTIELLEMENT VOLÉS
Open Exchange Rates, un fournisseur de données de taux de change en ligne, a récemment exposé ses données utilisateur via une base de données Amazon. La quantité de données utilisateur n’a pas été divulguée, mais l’annonce elle-même a été publiée sur Twitter cette semaine.
Annonce d’une violation de la base de données des utilisateurs
L’entreprise elle-même est un fournisseur de données sur les devises étrangères, et ce pour plus de 200 devises dans le monde, y compris les devises numériques. Tout développeur de logiciels peut y accéder, en exploitant l’API de l’entreprise. Cela permet aux applications d’interroger le service Open Exchange Rates, qui peut ensuite fournir les résultats dans un format .JSON lisible par une machine ou par l’homme.
L’entreprise exploite ce service en utilisant le réseau en nuage d’Amazon Web Services. Cependant, la société a fait l’objet d’une violation de sécurité qui s’est produite dès le 9 février 2020.
L’annonce de la violation elle-même a eu lieu le 12 mars 2020, la société ayant alors envoyé des notifications à ses clients. Sylvia Van Os a tweeté cette notification au public, van Os étant une ingénieur Open Source et Linux.
Une attaque explicite contre l’entreprise
Ce qui est important à noter, c’est que cette violation de données semblait être une attaque ciblée, au lieu des incidents d’exposition typiques des AWS habituellement signalés.
Cette violation de données n’a pas été attribuée à une exposition au S3 ou à un accès public à une base de données, qui s’est fait par une mauvaise configuration de la base de données ou du Cloud. Au lieu de cela, il semble qu’un acteur malveillant ait expressément ciblé les taux de change ouverts.
La société a déclaré que les rapports ont commencé à arriver, en ce qui concerne la performance de son API, le 2 mars 2020. Cela a conduit l’entreprise à une mauvaise configuration de son réseau. Cependant, lorsque le problème a été résolu, il est apparu qu’un compte non autorisé s’était immiscé dans l’environnement AWS, ce qui avait été à l’origine de la mauvaise configuration.
L’annonce a révélé que ce compte non autorisé avait utilisé une clé d’accès sécurisée compromise pour modifier l’environnement AWS.
Une exposition de longue durée des données des utilisateurs
Lorsque la société a fermé l’accès à cet utilisateur pour régler le problème, il s’est avéré que ce compte avait réussi à accéder à une base de données contenant les données de l’utilisateur. Dans sa déclaration publique, la société a expliqué qu’il existe des preuves que ces données ont été extraites de son réseau. Cependant, la société s’est empressée d’affirmer qu’elle enquêtait toujours sur cette question.
Les données qui ont été violées comprennent celles des noms enregistrés et des adresses électroniques. En outre, il y avait des mots de passe d’accès à des comptes cryptés, les adresses IP de divers utilisateurs, ainsi que des jetons qui sont utilisés pour authentifier les applications de requête.
Pour couronner le tout, si un utilisateur a divulgué son adresse personnelle, son adresse professionnelle, son adresse web ou son pays de résidence, ces informations ont également été compromises lors de la violation.
Avertissements en cas d’usurpation d’identité et de fraude
La déclaration a averti le public que ces criminels pourraient exploiter les données qui auraient pu être extraites. Les données qui pourraient être extraites pourraient servir à tout, de l’ingénierie sociale à la fraude en passant par le vol d’identité. Ce n’est pas une bonne façon de voir les choses, mais il est essentiel de les aborder, quoi qu’il en soit.
Afin d’essayer de protéger ses utilisateurs, Open Exchange Rates a adopté des mesures de précaution. Ces mesures comprennent la réinitialisation de tous les mots de passe de ses différents utilisateurs. En outre, les clients sont censés réinitialiser leurs jetons d’application, car l’entreprise a estimé que les gens pouvaient s’en servir pour utiliser ses services à la place d’une victime non consentante.
Les sages se taisent
Dans l’état actuel des choses, l’entreprise s’est abstenue de tout commentaire sur la question en général. Pour l’instant, c’est peut-être la meilleure décision à prendre, car une déclaration publique prise de la mauvaise manière nuirait au moral des gens.
L’entreprise va sans aucun doute prendre un coup dans l’opinion publique à cause de cette brèche, mais il est important de se rappeler qu’essayer de lutter contre la cybercriminalité, c’est comme essayer de pousser la mer.
Plus une entreprise est prise pour cible, plus les tentatives de violation sont nombreuses. En raison de la quantité, certaines y parviennent. Tout ce que l’entreprise peut faire, c’est empêcher que cela se produise de cette manière spécifique, plus jamais.
