Unacademy a subi une violation majeure des données: 22 millions de documents sont vendus sur le Dark Web

Unacademy, une plate-forme d'apprentissage en ligne basée sur l'Inde et soutenue par Facebook, a subi une grave violation de données, et à cause de cela, certains cybercriminels font maintenant de l'argent. Nous le savons parce que des chercheurs de Cyble, une entreprise de cybersécurité, ont récemment remarqué une annonce sur un marché clandestin vendant une base de données qui, selon la description, contient 20 millions de comptes Unacademy. Pour ajouter à leur AmIBreached.com un service de surveillance violation, les experts de CYBLE acquis la base de données et réalisé qu'il contient en réalité un peu moins de 22 millions de disques. Ce qui était plus surprenant, cependant, était le prix - seulement 2 000 $.

Les mots de passe hachés en toute sécurité font baisser le prix

La grande disponibilité des informations volées signifie que ces bases de données sont généralement assez bon marché. Dans ce cas, cependant, un seul dollar vous rapporte un peu moins de 11 000 comptes, ce qui est un prix étonnamment bas. Il y a cependant une bonne raison à cela.

Cyble a partagé la base de données avec des journalistes de Bleeping Computer qui ont confirmé que les mots de passe stockés dans le vidage avaient été hachés avec SHA256 - un algorithme de hachage puissant. Transformer les hachages en mots de passe en texte clair va être très difficile, et il faudra probablement du temps pour que les escrocs hésitent à investir. De plus, Hemesh Singh, directeur technique d'Unacademy, a déclaré à Bleeping Computer que la plate-forme dispose d'un "système de connexion basé sur OTP" qui est censé protéger davantage les utilisateurs concernés.

Par prudence, les utilisateurs d'Unacademy sont toujours invités à changer leurs mots de passe, mais il est juste de dire que la base de données actuellement en vente sur le dark web ne présente aucune menace de prise de contrôle de compte immédiate. Cela ne signifie pas pour autant que la violation est insignifiante.

Les pirates peuvent exploiter les données Unacademy de différentes manières

En plus des hachages SHA256, chacun des enregistrements contient le prénom et le nom de l'utilisateur, le nom d'utilisateur, l'adresse e-mail, la dernière date de connexion et la date de création du compte. En d'autres termes, les pirates qui ont 2 000 $ à dépenser peuvent toujours accéder à de nombreuses informations utilisables. Les données exposées peuvent être à la base d'attaques de hameçonnage soigneusement conçues, qui, compte tenu des positions occupées par certaines des personnes concernées, pourraient avoir de graves conséquences.

Selon Cyble, de nombreux utilisateurs exposés par la violation Unacademy avaient utilisé leurs e-mails d'entreprise lors de l'inscription. Certains d'entre eux travaillent pour de grandes sociétés technologiques comme Facebook, Google, Infosys, Cognizant et Wipro. Si leurs compétences en ingénierie sociale sont suffisamment bonnes, les pirates peuvent potentiellement inciter les victimes à partager des informations qui peuvent présenter une opportunité de compromettre le réseau d'une grande entreprise.

Évidemment, à ce stade, ce n'est qu'une hypothèse, et dans l'ensemble, il est difficile d'estimer l'ampleur des effets de la violation, surtout compte tenu des inconnues qui l'entourent.

Il y a quelques points d'interrogation autour de la brèche Unacademy

Selon Hemesh Singh, la violation a touché "environ 11 millions d'apprenants", mais comme nous l'avons déjà mentionné, le nombre d'enregistrements dans la base de données est presque le double de celui-ci. Malheureusement, Singh n'a pas répondu aux questions de suivi de Bleeping Computer concernant l'écart. Il n'a pas non plus commenté les affirmations des pirates.

Selon la déclaration de Singh, seules les "informations de base" ont été révélées pendant la violation, mais les auteurs présumés ont déclaré à Cyble que les 22 millions de dossiers d'utilisateurs ne sont qu'une partie des données volées. Ils disent qu'ils ont réussi à se débarrasser de "l'intégralité de la base de données" d'Unacademy, bien qu'il soit évidemment difficile de dire à quel point leurs revendications sont crédibles.

Unacademy a ouvert une enquête qui, nous l'espérons, confirmera ou infirmera ces affirmations, et nous espérons que les résultats seront rendus publics. Dans l'intervalle, les utilisateurs d'Unacademy doivent être conscients des dangers associés à l'incident et doivent agir en conséquence.