Une violation de données chez un fabricant d'équipement en direct révèle les données personnelles et financières des employés

La semaine dernière, TAIT Towers Manufacturing LLC, un fabricant d'équipements pour les événements en direct et les concerts qui a travaillé avec des artistes comme Lady Gaga et Taylor Swift, a publié l' une de ces déclarations dans laquelle il doit expliquer comment il prend la sécurité des données très au sérieux. Comme beaucoup d'entre vous le savent probablement, les entreprises ne le font qu'après avoir subi une violation de données.

L'attaque a eu lieu il y a environ quatre mois en février, mais la société n'a été mise au courant que le 6 avril. Après avoir été informée de la violation, elle a immédiatement ouvert une enquête, qui est toujours en cours. Néanmoins, TAIT a eu la gentillesse de partager avec nous (et les personnes directement touchées par l'attaque) ce qui s'est passé.

Les pirates ont compromis un serveur TAIT et les comptes de messagerie des employés

Le 16 février, une partie non autorisée a compromis l'un des serveurs de TAIT et les comptes de messagerie de certains des employés de l'entreprise. Une fois à l'intérieur, les pirates ont eu accès à de nombreuses informations personnelles sur le personnel de TAIT, y compris les noms, adresses physiques et e-mail, dates de naissance, numéros de sécurité sociale et numéros de compte financier. TAIT a fermé la brèche, a embauché une société de cybersécurité pour aider à l'enquête, et a commencé à travailler sur la mise en œuvre de mesures pour garantir que des incidents similaires ne se produisent pas à l'avenir.

La société est catégorique: elle n'a vu aucune preuve d'utilisation abusive des données, mais pour être sûr, elle est prête à fournir gratuitement aux employés concernés des services de protection contre le vol d'identité. La déclaration donne beaucoup de détails sur ce que les gens doivent faire pour accepter TAIT sur cette offre.

Trop de pièces du puzzle manquent

Comme nous l'avons déjà mentionné, l'enquête est toujours en cours, ce qui suggère que même TAIT n'a pas encore une vue d'ensemble. Cela étant dit, tant de détails manquent dans la déclaration de la semaine dernière, que le nombre de questions posées dépasse celui des réponses.

Nous ne savons pas, par exemple, combien de comptes de messagerie ont été attaqués. Il n'y a pas non plus d'informations sur le nombre d'employés concernés, et nous ne savons même pas si l'attaque a ciblé des personnes dans une région spécifique ou si elle a affecté les bureaux de TAIT à travers le monde. La méthode utilisée par les pirates informatiques pour compromettre les systèmes informatiques de TAIT est également inconnue, ce qui signifie qu'il est difficile de dire à quel point les adversaires sont sophistiqués et à quel point les conséquences pourraient être graves. Ce n'est pas le seul problème.

À propos de cette déclaration “nous prenons la sécurité très au sérieux”

Les entreprises sont souvent critiquées pour avoir fourni à leurs notifications de violation de données une phrase standard qui ne fait pas un très bon travail pour convaincre les gens que l'organisation attaquée "prend la sécurité très au sérieux". La déclaration n'apporte pas vraiment de valeur à la notification, et dans certains cas, elle semble carrément creuse.

Par exemple, les personnes en charge de la sécurité de TAIT ont fait la même affirmation exacte, mais elles n'ont pas réussi à s'assurer que le site Web de l'entreprise se charge sous HTTPS par défaut. Ils se sont également vantés du système d'authentification multifacteur qu'ils ont introduit. L'authentification multifacteur existe depuis des années et s'est révélée être le moyen le plus simple d'assurer une meilleure protection des données. Étant donné la sensibilité et le volume des données que TAIT gère, l'entreprise aurait probablement dû penser à les mettre en œuvre avant l'attaque des cybercriminels plutôt qu'après.

Dans l'ensemble, la notification de violation de TAIT prouve que dire que vous prenez la sécurité au sérieux est plus facile que de le faire.