Capital One : des données personnelles de 6 millions de Canadiens ont été volées
Radio-Canada
hackers, vol d'identité, vol de donnés, banques
Capital
One a été la cible d'un des plus importants piratages informatiques
visant une grande banque américaine. L'institution a annoncé lundi que
les renseignements personnels de 106 millions de ses clients
nord-américains, dont 6 millions de Canadiens, avaient été dérobés par
un pirate informatique, qui a déjà été arrêté par le FBI.
D'après
le communiqué publié par Capital One Canada, le piratage a été commis
les 22 et 23 mars 2019. « Un individu extérieur a eu un accès non
autorisé [à notre réseau] et a obtenu certaines informations
personnelles », indique la banque.
Capital One, qui a confirmé le piratage le 19 juillet
dernier, deux jours après qu'un chercheur en sécurité externe lui eut
signalé une vulnérabilité du système, dit avoir colmaté la brèche
« immédiatement ».
La voleuse de données, qui a profité d'une faille dans un
serveur d'informatique dématérialisée (cloud) de la banque, aurait
principalement eu accès aux informations de consommateurs et de petites
entreprises ayant soumis une demande pour une carte de crédit entre 2005
et le début de 2019 : noms, adresses, numéros de téléphone, adresses
courriel, revenus et date de naissance, etc.
D'autres informations, comme les cotes de crédit, les
limites de crédit, les soldes et les habitudes de paiement, ont aussi
été piratées, ainsi que certaines données sur des transactions
effectuées sur un total de 23 jours de 2016 à 2018.
Au Canada, le numéro d'assurance sociale d'environ 1 million de clients a aussi été compromis.
Capital One – le cinquième émetteur de cartes de crédit
bancaire aux États-Unis – dit poursuivre son enquête, mais se fait
rassurante. « Selon l’analyse que nous avons effectuée à ce jour, nous
estimons qu’il est peu probable que l’individu ait utilisé les
renseignements à des fins frauduleuses ou qu’il les ait disséminés »,
dit-elle dans son communiqué.
« Ni les numéros de compte de carte bancaire ni les
informations pour se connecter à des comptes bancaires n'ont été volés.
Et plus de 99 % des numéros de sécurité sociale n'ont pas été
compromis », ajoute-t-elle.
La banque indique qu'elle offrira sans frais aux
Américains et aux Canadiens touchés des services de surveillance du
crédit et une assurance contre le vol d’identité. Elle ne précise pas
pour l'instant lesquels de ses clients ont été touchés. Au Canada,
Capital One émet notamment des cartes de crédit pour Costco et pour La
Baie d'Hudson.
Arrestation rapide
« Capital
One a informé rapidement les autorités compétentes du vol de données, ce
qui a permis au FBI de retrouver la trace de l'intrus », a expliqué
Brian Moran, le représentant du département de la Justice dans l'État de
Washington, dans un communiqué.
Selon la plainte déposée par le département de la
Justice, la personne accusée dans cette affaire est Paige Thompson,
domiciliée à Seattle, dans l'État de Washington.
Sous le pseudonyme Erratic, Mme Thompson s'est targuée
d'être l'auteure de cette fraude sur les réseaux sociaux. Elle y a
notamment déclaré « qu'elle détenait des informations de Capital One, et
qu'elle reconnaissait avoir enfreint la loi », peut-on lire dans la
plainte du FBI.
L'arrestation de Mme Thompson survient quelques jours
après qu'Equifax, l'agence de crédit américaine, eut été contrainte de
payer une amende de 700 millions de dollars américains pour le vol de données de plus de 150 millions de clients en 2017.
Récemment, 2,9 millions de membres de Desjardins ont aussi été victimes d'un vol de données.
***************************************************************************
Capital One : un suspect arrêté par le FBI pour le piratage d’une banque canadienne
Les données bancaires de 6 millions de canadiens et d’un peu plus de 100 millions de résidents américains sont concernées par le piratage. Le suspect a utilisé Tor et un VPN pour camoufler ses agissements.Paige A. Thompson, 33 ans, était une ingénieure ayant travaillé dans plusieurs secteurs informatiques et a notamment été employée pendant deux ans pour la société Cloud Computing Company, un prestataire informatique travaillant pour Capital One.
Les vols de données auraient eu lieu entre mars et avril, mais n’ont été découverts par la banque que le 17 juillet grâce à un chercheur en sécurité ayant alerté la société. La banque a depuis corrigé le problème de configuration à l’origine de la fuite de donnée.
Thompson était parvenue à accéder aux données et avait pris ses précautions afin de ne pas se faire repérer, en se connectant notamment à travers le réseau Tor et en utilisant un VPN afin de dissimuler ses traces. Malheureusement pour elle, elle s’est un peu trop épanchée sur les réseaux sociaux et a notamment publié plusieurs informations volées sur le réseau social Github ainsi que sur plusieurs channels Slack, où un chercheur en sécurité a repéré les informations et contacté la banque concernée.
REF.:
Comme c’est généralement le cas aux Etats-Unis suite à un piratage informatique, une plainte en recours collectif (class action) a été déposée dans la foulée de l’affaire Capital One. La semaine dernière, la banque canadienne révélait avoir été victime d’une attaque informatique au cours de laquelle les données personnelles (noms, adresses postales, numéros de téléphone, adresses email, dates de naissance, revenus déclarés) de 106 millions de clients ont été exposées. Une plainte déposée en Californie vise non seulement Capital One mais également Github.
La plateforme d'hébergement de code source est accusée de négligence. Le pirate, qui a été appréhendé avant que l’affaire ne soit rendue publique, a publié des informations sur son attaque via GitHub, ce qui conduit les plaignants à estimer que “les décisions de la direction de GitHub (...) ont permis que les données piratées soient publiées, affichées, utilisées et/ou autrement disponibles." Les informations étaient disponibles sur le site entre le 21 avril et la mi-juillet. GitHub est accusé d’avoir enfreint la loi fédérale sur les écoutes (Wiretap Act).
***************************************************************************
Capital One : un suspect arrêté par le FBI pour le piratage d’une banque canadienne
Les données bancaires de 6 millions de canadiens et d’un peu plus de 100 millions de résidents américains sont concernées par le piratage. Le suspect a utilisé Tor et un VPN pour camoufler ses agissements.Paige A. Thompson, 33 ans, était une ingénieure ayant travaillé dans plusieurs secteurs informatiques et a notamment été employée pendant deux ans pour la société Cloud Computing Company, un prestataire informatique travaillant pour Capital One.
La banque Capital One a été victime d’un piratage d’ampleur, mais le principal suspect a déjà été appréhendé. Lundi, la banque canadienne a publié un communiqué indiquant
avoir été victime d’un piratage. L’auteur du piratage aurait accédé aux
données de la banque suite à une erreur de configuration dans l’un des
pare-feu d’application web (Web application Firewall, WAF) de la société
ayant permis d’accéder aux données personnelles des clients de la
banque. Les informations collectées par l’attaquant étaient issues des
fichiers de demande de carte bancaire des clients.
Parmi les
informations exposées, on retrouve ainsi des noms, adresses postales,
numéros de téléphone, adresses email, dates de naissance et revenus
déclarés par les clients. En plus de ces données personnelles, la banque
précise que 140 000 numéros de sécurité sociale ainsi que les numéros
de comptes de 80 000 clients ont été exposés, ainsi qu’un million de
numéros d’assurance sociale appartenant à des résidents canadiens. La
banque précise également que les informations de comptes de ses clients
(Historique de paiement, score de crédits, etc.) ont été exposées ainsi
que des historiques de transactions.
Les vols de données auraient eu lieu entre mars et avril, mais n’ont été découverts par la banque que le 17 juillet grâce à un chercheur en sécurité ayant alerté la société. La banque a depuis corrigé le problème de configuration à l’origine de la fuite de donnée.
La faute aux réseaux sociaux
Dans un communiqué publié par le FBI, on en apprend un peu plus sur le suspect interpellé par les autorités américaines suite à ce piratage. Paige A. Thompson, 33 ans, était une ingénieure ayant travaillé dans plusieurs secteurs informatiques et a notamment été employée pendant deux ans pour la société Cloud Computing Company, un prestataire informatique travaillant pour Capital One.Thompson était parvenue à accéder aux données et avait pris ses précautions afin de ne pas se faire repérer, en se connectant notamment à travers le réseau Tor et en utilisant un VPN afin de dissimuler ses traces. Malheureusement pour elle, elle s’est un peu trop épanchée sur les réseaux sociaux et a notamment publié plusieurs informations volées sur le réseau social Github ainsi que sur plusieurs channels Slack, où un chercheur en sécurité a repéré les informations et contacté la banque concernée.
REF.:
Comme c’est généralement le cas aux Etats-Unis suite à un piratage informatique, une plainte en recours collectif (class action) a été déposée dans la foulée de l’affaire Capital One. La semaine dernière, la banque canadienne révélait avoir été victime d’une attaque informatique au cours de laquelle les données personnelles (noms, adresses postales, numéros de téléphone, adresses email, dates de naissance, revenus déclarés) de 106 millions de clients ont été exposées. Une plainte déposée en Californie vise non seulement Capital One mais également Github.
La plateforme d'hébergement de code source est accusée de négligence. Le pirate, qui a été appréhendé avant que l’affaire ne soit rendue publique, a publié des informations sur son attaque via GitHub, ce qui conduit les plaignants à estimer que “les décisions de la direction de GitHub (...) ont permis que les données piratées soient publiées, affichées, utilisées et/ou autrement disponibles." Les informations étaient disponibles sur le site entre le 21 avril et la mi-juillet. GitHub est accusé d’avoir enfreint la loi fédérale sur les écoutes (Wiretap Act).
Des porte-parole de Capital One et de GitHub ont déclaré à
nos confrères de ZDNet.com que les données téléchargées sur GitHub par le
pirate ne contenaient aucune information personnelle. (Eureka Presse)
