Les fuites de données les plus importantes en 2018. Première partie (janvier-juin)

L’année 2018 touche à sa fin, il est donc temps de faire le point sur ses résultats et de lister les fuites de données les plus significatives.

Cet examen n’inclut que les cas très importants de fuites d’informations à travers le monde. Cependant, malgré le seuil élevé, les cas de fuites sont si nombreux que l'examen a dû être divisé en deux parties, soit six mois plus tard.

Voyons ce qui a été divulgué et comment cette année, de janvier à juin. Permettez-moi tout de suite de faire une réserve : le mois de l'incident n'est pas indiqué par l'heure de sa survenance, mais par l'heure de sa divulgation (annonce publique).

Alors allons-y...

janvier

• Parti progressiste-conservateur du Canada
  Le système de gestion de l'information des constituants (CIMS) du Parti progressiste-conservateur du Canada (section ontarienne) a été piraté.
  La base de données volée contenait les noms, numéros de téléphone et autres renseignements personnels de plus d'un million d'électeurs ontariens, ainsi que de partisans du parti, de donateurs et de bénévoles.

• Rosobrnadzor
  Fuite d'informations sur les diplômes et autres données personnelles les accompagnant depuis le site Internet du Service fédéral de surveillance de l'éducation et des sciences.
  Au total, il existe environ 14 millions de dossiers contenant des données sur d'anciens étudiants. Taille de la base de données 5 Go.
  Fuite : série et numéro de diplôme, année d'admission, année d'obtention du diplôme, SNILS, INN, série et numéro de passeport, date de naissance, nationalité, établissement d'enseignement qui a délivré le document.

• Autorité régionale norvégienne de la santé
  Les attaquants ont piraté le système de l'autorité sanitaire régionale du sud et de l'est de la Norvège (Helse Sør-Øst RHF) et ont eu accès aux données personnelles et aux dossiers médicaux d'environ 2.9 millions de Norvégiens (plus de la moitié de tous les résidents du pays).
  Les données médicales volées comprenaient des informations sur des personnalités gouvernementales, des services secrets, militaires, politiques et autres.

février

• Swisscom
  L'opérateur mobile suisse Swisscom a reconnu que les données personnelles d'environ 800 XNUMX de ses clients avaient été compromises.
  Les noms, adresses, numéros de téléphone et dates de naissance des clients ont été concernés.

mars

• Sous Protection
  MyFitnessPal, l'application populaire de suivi de la condition physique et de la nutrition d'Under Armour, a subi une violation de données majeure. Selon l'entreprise, environ 150 millions d'utilisateurs sont concernés.
  Les attaquants ont pris connaissance de noms d’utilisateur, d’adresses e-mail et de mots de passe hachés.

• Orbitz
  Expedia inc. (propriétaire d'Orbitz) a déclaré avoir découvert une violation de données sur l'un de ses anciens sites affectant des milliers de clients.
  On estime que la fuite a touché environ 880 XNUMX cartes bancaires.
  L'attaquant a eu accès aux données sur les achats effectués entre janvier 2016 et décembre 2017. Les informations volées comprennent les dates de naissance, les adresses, les noms complets et les informations de carte de paiement.

• Société MBM Inc.
  Un stockage public Amazon S3 (AWS) contenant une copie de sauvegarde d'une base de données MS SQL contenant les informations personnelles de 1.3 million de personnes vivant aux États-Unis et au Canada a été découvert dans le domaine public.
  La base de données appartenait à MBM Company Inc, une société de joaillerie basée à Chicago et opérant sous la marque Limoges Jewelry.
  La base de données contenait des noms, adresses, codes postaux, numéros de téléphone, adresses e-mail, Adresses IP et des mots de passe par SMS. De plus, il contenait des listes de diffusion internes de MBM Company Inc., des informations de cartes de crédit cryptées, des données de paiement, des codes promotionnels et des commandes de produits.

avril

• Delta Air Lines, Best Buy et Sears Holding Corp.
  Attaque ciblée d'un logiciel malveillant spécial sur l'application de chat en ligne de la société [24]7.ai (une société californienne de San Jose qui développe des applications pour le service client en ligne).
  Des données complètes sur les cartes bancaires ont été divulguées - numéros de carte, codes CVV, dates d'expiration, noms et adresses des propriétaires.
  Seule la quantité approximative de données divulguées est connue. Pour Sears Holding Corp. cela représente un peu moins de 100 26 cartes bancaires, pour Delta Air Lines cela représente des centaines de milliers de cartes (la compagnie aérienne ne communique pas plus précisément). Le nombre de cartes compromises pour Best Buy est inconnu. Toutes les cartes ont été divulguées entre le 12 septembre et le 2017 octobre XNUMX.
  Il a fallu à [24]7.ai plus de 5 mois après avoir découvert l'attaque sur son service pour informer les clients (Delta, Best Buy et Sears) de l'incident.

• Panera Bread
  Un fichier contenant les données personnelles de plus de 37 millions de clients se trouvait simplement sous forme ouverte sur le site Internet d'une chaîne de boulangeries-cafés populaires.
  Les données divulguées comprenaient les noms des clients, leurs adresses e-mail, leurs dates de naissance, leurs adresses postales et les quatre derniers chiffres des numéros de carte de crédit.

• Saks, Seigneur et Taylor
  Plus de 5 millions de cartes bancaires ont été volées dans les chaînes de vente au détail Saks Fifth Avenue (dont la chaîne Saks Fifth Avenue OFF 5TH) et Lord & Taylor.
  Les pirates ont utilisé des logiciels spéciaux dans les caisses enregistreuses et les terminaux PoS pour voler les données des cartes.

• Careem
  Les données personnelles d'environ 14 millions de personnes au Moyen-Orient, en Afrique du Nord, au Pakistan et en Turquie ont été volées par des pirates informatiques lors d'une cyberattaque contre les serveurs de Careem (le plus grand concurrent d'Uber au Moyen-Orient).
  L'entreprise a découvert une faille dans le système informatique qui stocke les informations d'identification des clients et des chauffeurs dans 13 pays.
  Des noms, adresses e-mail, numéros de téléphone et données de voyage ont été volés.

mai

• Afrique du Sud
  Une base de données contenant les données personnelles d'environ 1 million de Sud-Africains a été découverte sur un serveur Web public appartenant à une entreprise qui traite les paiements électroniques des amendes routières.
  La base de données contenait des noms, des numéros d’identification, des adresses e-mail et des mots de passe sous forme de texte.

juin

• Exacte
  La société de marketing Exactis de Floride, aux États-Unis, conservait une base de données Elasticsearch d'environ 2 téraoctets contenant plus de 340 millions d'enregistrements accessibles au public.
  Environ 230 millions de données personnelles d'individus (adultes) et environ 110 millions de contacts de diverses organisations ont été trouvés dans la base de données.
  Il convient de noter qu'au total, environ 249.5 millions d'adultes vivent aux États-Unis - c'est-à-dire que nous pouvons dire que la base de données contient des informations sur chaque adulte américain.

• Sacramento Bee
  Des pirates inconnus ont volé deux bases de données appartenant au journal californien The Sacramento Bee.
  La première base de données contenait 19.4 millions d’enregistrements contenant des données personnelles sur les électeurs californiens.
  La deuxième base de données contenait 53 XNUMX enregistrements contenant des informations sur les abonnés aux journaux.

• Billetterie
  Ticketfly, un service de vente de billets de concert appartenant à Eventbrite, a signalé une attaque de pirate informatique sur sa base de données.
  La clientèle du service a été volée par le hacker IsHaKdZ, qui a exigé 7502 XNUMX dollars en bitcoins pour sa non-distribution.
  La base de données contenait les noms, adresses postales, numéros de téléphone et adresses e-mail des clients de Ticketfly et même de certains employés du service, totalisant plus de 27 millions d'enregistrements.

• MyHeritage
  92 millions de comptes (identifiants, hachages de mots de passe) du service généalogique israélien MyHeritage ont fuité. Le service stocke les informations ADN des utilisateurs et crée leurs arbres généalogiques.

• Dixons Carphone
  La chaîne d'électronique Dixons Carphone, qui possède des magasins de détail au Royaume-Uni et à Chypre, a déclaré que les données personnelles de 1.2 million de clients, y compris les noms, adresses et adresses e-mail, avaient été divulguées à la suite d'un accès non autorisé à l'infrastructure informatique de l'entreprise.
  De plus, les numéros de 105 XNUMX cartes bancaires sans puce intégrée ont été divulgués.

A suivre ...

Des informations régulières sur des cas individuels de fuites de données sont rapidement publiées sur la chaîne. Fuites d'informations.

Source: habr.com