La Fondation signale 23 000 tentatives d’hameçonnage après une fuite de données du portefeuille Passport

Le fabricant de portefeuilles matériels Foundation a identifié plus de 23 000 tentatives d’hameçonnage après un incident de sécurité ayant exposé des données clients. Les adresses et numéros de téléphone de milliers de clients étaient potentiellement accessibles aux attaquants, qui cherchaient à leur soutirer leur phrase de récupération. Rien n’indique que les appareils Passport eux-mêmes ou les clés privées qu’ils contiennent aient été compromis.

En bref :

• Foundation a recensé plus de 23 000 tentatives d’hameçonnage via Mailgun et Google Workspace
• Les données d’environ 5 600 adresses postales et 5 200 numéros de téléphone étaient potentiellement accessibles aux attaquants
• Les appareils Passport et les clés privées ne sont pas compromis

Ampleur de l’attaque d’hameçonnage

Selon une mise à jour de Foundation, plus de 23 000 messages d’hameçonnage ont été envoyés via les systèmes de messagerie de l’entreprise. Parmi eux, 19 057 messages ont été distribués via Mailgun et 1 503 via Google Workspace. Certaines adresses électroniques ont reçu plusieurs messages ; une partie des tentatives a échoué ou a été interceptée avant leur distribution.

Fait notable, plus de 5 000 des adresses électroniques ayant reçu des messages d’hameçonnage ne figurent pas du tout dans les fichiers clients de WooCommerce ou de Shopify. Certaines correspondent aux adresses électroniques des boîtes e-mail du support et du recrutement de Foundation. Au vu des signalements de clients dont Foundation n’avait jamais eu les données, l’entreprise conclut que les attaquants ont aussi utilisé des données extérieures à Foundation. L’origine de ces données fait encore l’objet d’une enquête.

Données clients exposées par d’anciennes bases de données

Foundation explique que des données sont restées stockées dans des tables de base de données obsolètes après des migrations antérieures, alors qu’elles semblaient supprimées dans le panneau d’administration. Avant que l’entreprise ne passe à Shopify en mai, la boutique en ligne fonctionnait sous WooCommerce. Bien que les données clients devaient être supprimées automatiquement soixante jours après l’envoi, cette suppression ne s’appliquait pas à tous les types de commandes. En outre, des données étaient aussi stockées dans d’autres parties du système, comme les paniers abandonnés et les formulaires de contact, qui n’étaient jamais touchés par la fonction de suppression.

Au total, des enregistrements contenant environ 5 600 adresses postales et 5 200 numéros de téléphone, ainsi que des noms et des adresses électroniques, étaient accessibles aux attaquants. Foundation ne peut pas affirmer avec certitude que tous les enregistrements ont effectivement été consultés et les traite donc tous comme potentiellement exposés. Il s’agit d’une partie de la base clients totale.

Mesures prises et état de l’enquête

Par précaution, Foundation renouvelle toutes les clés et tous les jetons de sécurité de ses systèmes, y compris ceux pour lesquels aucune preuve d’accès n’a été trouvée. Les anciennes données WooCommerce sont conservées hors ligne comme éléments de preuve pour l’enquête et seront définitivement supprimées à son issue. Les identifiants de messagerie concernés ont été révoqués et les services obsolètes compromis ont été mis hors ligne.

Les messages d’hameçonnage visaient à inciter les utilisateurs à saisir leur phrase de récupération sur un faux site web. Foundation appelle les utilisateurs à ne jamais saisir leur phrase de récupération sur un site web ni à la partager avec quiconque, pas même avec une personne prétendant agir au nom de Foundation. Un incident similaire avait précédemment touché Keystone, avec près de 26 000 enregistrements clients divulgués. Foundation indique qu’elle publiera un rapport complet dès la fin de l’enquête.