Experian : les données piratées de T-Mobile déjà sur le Dark Web ?

Les données de 15 millions clients de T-Mobile ont été compromises sur les serveurs de l’un de ses partenaires, en l’occurrence Experian, qui est chargé d’évaluer la solvabilité d’abonnés de l’opérateur aux États-Unis. Trustev, start-up irlandaise spécialisée dans la prévention des fraudes, a signalé la présence sur le Dark Web de lots de données qui pourraient être issues de ce piratage. Et ce un jour après la confirmation par Experian, le 1er octobre, du piratage de données de clients de T-Mobile USA ayant passé un contrat avec l’opérateur entre le 1er septembre 2013 et le 16 septembre 2015.

Appelé « fullz » par les hackers et courtiers du marché noir, un lot de ce type regroupe plusieurs données personnelles (nom d’un client, coordonnées, email, date de naissance, numéros de sécurité sociale et de permis de conduire… mais pas de données bancaires dans le cas présent, semble-t-il). Sur une capture d’écran transmise par Trustev à VentureBeat, un de ces lots est proposé à la vente 25 dollars sur le Dark Web. Ce dernier est accessible via des réseaux d’anonymisation (Tor, i2P…).

Le chiffrement ne suffit pas

« Il est très probable, compte tenu de la nature de ces données et du calendrier », que ces lots soient issus du piratage des données de clients de T-Mobile via les serveurs d’Experian, a indiqué un porte-parole de Trustev à VentureBeat. « Une fois que les fraudeurs mettent la main sur des données, ils les déchiffrent généralement très rapidement », selon Trustev. Et même si les pirates ne disposent pas de données bancaires, comme le disent Experian et T-Mobile, à ce jour, ils peuvent toujours effectuer des recoupements pour reconstituer le profil d’un internaute en s’appuyant sur les données volées. Et, par extension, usurper son identité… Pour David Goldschlag (Pulse Secure), co-créateur du réseau superposé Tor, le chiffrement ne suffit pas, il doit s’accompagner d’une authentification forte.