Les pirates informatiques violent Mixcloud et vendent des données d'utilisateurs en ligne

Après avoir violé un service en ligne ou un site Web, les pirates tentent généralement de monétiser les données volées en les vendant soit sur le Web sombre, soit sur l’un des nombreux forums de piratage indexés par Google et facilement accessibles. Compte tenu de la valeur des informations personnelles, la vente de ces données à d’autres criminels n’est souvent pas un défi. Apparemment, cependant, les bases de données volées sont parfois plus difficiles à déplacer. Un pirate informatique portant le surnom de A_W_S, par exemple, avait probablement du mal à vendre une base de données qu’il/elle avait volée au service de diffusion Mixcloud. C’est pourquoi ils ont décidé de passer le message en se vantant de l’attaque dirigée contre les médias.

La semaine dernière, A_W_S a contacté Zack Whittaker de TechCrunch, Joseph Cox de Motherboard et Catalin Cimpanu de ZDNet pour leur dire que Mixcloud avait été victime d'une violation de données. A_W_S a déclaré qu'il/elle avait réussi à lui seul à voler les enregistrements de 21 millions d'abonnés, et les données étaient en vente sur un marché en noir.

A_W_S n'est pas nouveau pour ce genre de chose. Selon le journaliste de ZDNet, ils ont travaillé aux côtés d'un autre cybercriminel connu sous le nom de Gnosticplayers, dont l'intérêt pour l'attention des médias est devenu évident plus tôt cette année après quelques attaques relativement médiatisées. Mais comment la brèche Mixcloud se compare-t-elle aux activités des Gnosticplayers?

Pas la violation la plus horrible au monde

Les trois agences de presse ont reçu des échantillons de données afin de confirmer leur authenticité. Les reporters ont vu les noms d'utilisateur, les adresses email et IP, les dates d'enregistrement des comptes et le hachage chiffré des mots de passe des personnes dans la base de données. Ils ont pris contact avec certaines des personnes concernées et ont essayé de créer de nouveaux comptes Mixcloud avec certains des courriels. Ils ont alors confirmé que les informations étaient authentiques. Les dates auxquelles certaines des inscriptions ont été faites donnent à penser que l'attaque s'est déroulée il y a quelques semaines à peine. Donc, les données sont réelles et probablement valables. C'est une bonne chose, alors, qu'il n'y en ait pas beaucoup.

Après avoir pris connaissance de la violation, Mixcloud a indiqué qu'il ne stockait aucun détail de carte de crédit ou adresse physique. Il a également précisé que la plupart de ses utilisateurs ont souscrit au service en utilisant leur compte Facebook, ce qui, en soi, limite la quantité de données exposées dans une certaine mesure. Plus important encore, le fournisseur de services de diffusion en continu a déclaré que les mots de passe volés avaient été salés et hachés de manière sécurisée, ce que les organes de presse ont réussi à confirmer. Mixcloud a utilisé SHA-2 - un algorithme de hachage qu'il est pratiquement impossible d'inverser.

En conséquence, les escrocs qui paient pour la base de données n’obtiendront pas beaucoup pour leur argent, ce qui explique probablement pourquoi les données n’attirent pas autant d’attention. Lorsque TechCrunch et Motherboard ont écrit au sujet de la faille le 29 novembre, A_W_S demandait 0,5 bitcoin ou 4 000 dollars, mais au moment de la publication du rapport de ZDNet le 1er décembre, le prix avait été ramené à 0,27 bitcoin, soit environ 2 000 dollars.

Pas la meilleure réponse au monde

Apparemment, Mixcloud ne savait rien de la brèche avant le rapport initial dans les médias. Environ 24 heures après l'annonce de la nouvelle, le fournisseur de services de diffusion en continu a proposé ce que Zack Whittaker a assez précisément décrit comme "une déclaration d'entreprise standard". Outre l'inévitable déclaration «nous prenons la sécurité très au sérieux», l'article de blog contenait des informations sur les mécanismes de stockage des mots de passe et sur la quantité relativement limitée de données exposées. Il ne contenait pas le nombre de personnes touchées par la brèche et ne disait rien sur les précautions prises pour mieux les protéger à l'avenir. La décision d'inclure une section FAQ qui ne comporte que deux questions est également assez étrange compte tenu du fait que plus de 20 millions d'enregistrements auraient été volés.

Lorsque les journalistes ont demandé de plus amples commentaires, les porte-parole de Mixcloud sont restés silencieux, ce qui est une preuve supplémentaire que le fournisseur de service de streaming aurait pu être un peu plus transparent dans sa divulgation. Nous ne pouvons qu'espérer que d'autres fournisseurs victimes de violations de données seront en mesure de mieux les gérer.