Une faille de sécurité dans un logiciel utilisé par Amazon a entraîné la divulgation de nombreuses données personnelles, qui sont maintenant en vente sur le dark web.

Après Free, Intermarché et d’autres, c’est maintenant Amazon qui fait face à une fuite de données importante. L’entreprise a confirmé hier, mardi 12 novembre 2024, qu’une faille de sécurité avait permis l’exposition de plus de 2,8 millions de lignes de données. La situation proviendrait d’une attaque ciblant l’un de ses sous-traitants, le logiciel professionnel MOVEit. Cependant, dans ce cas, ce ne sont pas les clients de la plateforme qui sont directement affectés, mais ses employés.

Des milliers de données personnelles en vente

Sur le forum pirate BreachForums, un hacker connu sous le pseudonyme de Nam3L3ss affirme posséder de nombreuses informations sensibles, telles que des adresses email, des numéros de téléphone de bureau et des localisations. Cette fuite de données se distingue par le fait que toutes les informations volées appartiennent aux employés et travailleurs indépendants, actuels ou anciens, qui ont collaboré avec le géant américain. Sachant qu’Amazon employait 1,52 million de personnes en 2023, l’ampleur des dégâts est facile à imaginer. Étant donné le nombre important de personnes ayant travaillé, même temporairement, pour Amazon, la fuite a probablement eu un impact significatif.

Amazon a confirmé le vol de données, mais a cherché à rassurer le public : l’entreprise affirme que ses systèmes internes ainsi que ceux d’Amazon Web Services n’ont pas été compromis. De plus, il semble qu’aucune donnée hautement sensible, comme des numéros de Sécurité sociale ou des informations bancaires, n’ait été divulguée.

Une faille active depuis 2023

Au cœur de cette fuite se trouve l’exploitation d’une faille dans le logiciel de transfert de fichiers MOVEit de Progress Software. Bien que cette vulnérabilité soit connue depuis longtemps, ayant déjà été exploitée lors d’une attaque en mai 2023, elle n’a pas été corrigée adéquatement. À l’époque, le groupe de cybercriminels Clop avait utilisé cette brèche pour accéder aux systèmes MOVEit sans authentification, en exploitant une faille SQL, et avait extrait des informations confidentielles liées à Amazon. L’attaque actuelle revendiquée par Nam3L3ss aurait donc pu (en théorie) être empêchée.

Le problème s’aggrave si l’on considère que Nam3L3ss prétend ne pas en rester là. Il affirme posséder 250 téraoctets de données provenant de 25 grandes entreprises. Amazon ne serait que la partie visible de l’iceberg, avec d’autres grandes entreprises comme MetLife, HSBC et HP potentiellement affectées.

A lire aussi :

Arnaques en ligne : Un Réseau Chinois de Faux Sites Marchands Escroque des Milliers de Français