140 000 comptes d'utilisateurs supplémentaires ont été exposés lors de la violation de données d'avril par Nintendo

À la suite d'une violation de données, les entreprises doivent déterminer le nombre d'utilisateurs concernés et divulguer le mode de fonctionnement des attaquants. De cette façon, les gens auront une compréhension claire de l'ampleur de la violation et du niveau de sophistication des pirates. Cela semble être un travail simple, en particulier pour les grandes organisations multinationales, mais comme les utilisateurs de Nintendo peuvent en témoigner, cela s'avère parfois beaucoup plus difficile qu'il n'y paraît au premier abord.

La brèche de Nintendo était plus importante que prévu

Tout a commencé début avril lorsqu'un grand nombre d'utilisateurs se sont plaints de ne pas pouvoir se connecter à leurs comptes Nintendo. Certains ont même remarqué des frais inconnus sur le mode de paiement enregistrés dans leur profil, mais malgré toutes les plaintes, initialement, la société de jeux vidéo n'a rien dit. Comme BitDefender l'a noté à l'époque, le compte de support japonais de Nintendo sur Twitter a finalement admis que quelque chose pouvait mal tourner, mais l'annonce officielle a été reportée de quelques semaines.

Le 24 avril, une notification de violation de données est apparue sur la page d'assistance de Nintendo Japan, indiquant qu'il y avait eu une attaque contre les comptes NNID (Nintendo Network ID) de 160 000 utilisateurs. Grâce aux comptes NNID, les pirates ont eu accès aux surnoms, dates de naissance, adresses e-mail et pays de résidence des utilisateurs. Ils ont également utilisé les comptes NNID pour se connecter aux principaux profils Nintendo, où les noms des propriétaires étaient également disponibles.

Nintendo a rapidement souligné que les cybercriminels n'avaient pas accès aux détails de la carte de crédit, mais ils ont souligné que certains achats non autorisés avaient été effectués dans la boutique officielle de Nintendo en utilisant des méthodes de paiement enregistrées dans des comptes compromis.

Peu de temps après avoir annoncé la violation, Nintendo a séparé les comptes NNID des principaux profils Nintendo, réinitialisé les mots de passe des utilisateurs concernés et commencé à rembourser les transactions non autorisées.

Malheureusement, ce n'était pas la fin. Les plaintes se sont poursuivies, et après une enquête, Nintendo a conclu que 140 000 comptes supplémentaires pourraient avoir été affectés, ce qui porte le chiffre total à environ 300 000.

La divulgation de Nintendo n'est pas parfaite

Les gens ne devraient pas être contrariés par la révision de la figure. Enquêter sur une violation de données n'est pas une tâche facile, et parfois, l'image globale ne devient claire que des semaines, voire des mois plus tard. En ce qui concerne la divulgation détaillée, cependant, les choses devraient être aussi claires que possible dès le début, et dans le cas de Nintendo, ce n'est pas ce que nous voyons.

D'une part, bien que la violation ait touché des personnes du monde entier, la notification n'est pas disponible sur tous les sites Web mondiaux de Nintendo. La page d'assistance américaine, par exemple, n'en fait aucune mention, et bien que la succursale britannique reconnaisse l'incident, les détails techniques manquent.

La plupart des personnes qui souhaitent en savoir plus sur la violation doivent utiliser un service de traduction automatique et essayer de comprendre ce que signifiait Nintendo, ce qui pourrait être encore plus difficile qu'il n'y paraît. La notification indique clairement, par exemple, que bien que les pirates aient utilisé des noms d'utilisateur et des mots de passe valides pour se connecter aux comptes des gens, les systèmes de Nintendo n'ont été compromis d'aucune façon. Nous ne savons pas, cependant, si les escrocs les ont piratés directement auprès des utilisateurs ou s'ils les ont tirés d'une base de données violée lors d'un incident indépendant et les ont utilisés pour une attaque de bourrage d'informations d'identification.

Les experts en sécurité de Nintendo ont peut-être réalisé combien de personnes ont été affectées par la violation de données d'avril, mais ils ont clairement plus de détails à découvrir et à divulguer. Espérons qu'ils le feront rapidement et de manière transparente.