Un prestataire SMS letton a exposé 125 millions de SMS avec des codes de connexion
La filiale lettone de CSCTelecom, une société qui envoie des SMS pour le compte d'entreprises, a laissé accessible à tous sur internet une base de plus de 125 millions de SMS. Selon Cybernews, le 11 novembre, les messages vont d'octobre 2022 à septembre 2026 et comprennent des codes de connexion à usage unique, des liens de réinitialisation de mot de passe, des alertes bancaires et des informations de vol envoyés à des habitants de Lettonie, de Lituanie et d'Estonie. La base était mise à jour en temps réel : quiconque la surveillait voyait un code au moment même où il arrivait sur le téléphone du destinataire.
En bref
- Parmi les expéditeurs figurent Swedbank et SEB en Lettonie, airBaltic, le numéro d'urgence letton 112, des assureurs et des dizaines de commerces baltes.
- Cybernews a trouvé la base le 28 septembre. Selon LRT, CSCTelecom a été prévenue le 29 septembre et la base a été fermée le 27 octobre.
- Rien ne prouve que des criminels aient copié les données, mais les chercheurs estiment que n'importe qui aurait pu la trouver avant eux.
Ce que contenaient les messages
La base tournait sous ClickHouse et conservait le texte intégral de chaque message, le nom de l'entreprise expéditrice, l'horodatage, le prix de chaque SMS et des données de routage du réseau mobile. Cybernews cite des codes d'authentification, des mots de passe temporaires, des résultats d'analyses médicales, des détails de réservation, des avis de livraison avec noms et adresses, des dates de voyage et des notifications de transactions bancaires.
Les messages de Swedbank montraient des numéros de compte IBAN, des montants, des bénéficiaires, des soldes et parfois le magasin de l'achat. Ceux de l'assureur ERGO contenaient des numéros de documents, des plaques d'immatriculation et des montants de factures. Les entrées liées au 112 montraient des numéros de téléphone et des détails d'appels. Les messages d'airBaltic contenaient des informations de vol et les noms de famille des passagers, et le service d'autopartage CityBee ainsi que la chaîne de supermarchés lituanienne IKI envoyaient des codes de connexion par cette passerelle.
La liste des expéditeurs compte aussi les assureurs Compensa et Artea, Porsche, l'épicerie en ligne Barbora, EuroCash, DEPO, les centres commerciaux Akropolis, PerlasGo, Autoplius et deux prestataires de santé lituaniens. LRT précise que les messages d'EuroCash1 comprenaient des alertes de sécurité sur des locaux gardés et des distributeurs.
Pourquoi les codes par SMS sont le point faible
Le flux en direct de codes à usage unique est le plus dangereux. Un attaquant qui connaissait déjà le mot de passe de quelqu'un et surveillait la base pouvait saisir le code ou ouvrir le lien de réinitialisation avant même que le vrai utilisateur regarde son téléphone. Quatre ans d'historique permettent aussi de dresser le profil du titulaire d'un numéro : sa banque, ses magasins, ses vols, ses dépenses.
Voldemaras Kadys, responsable de la sécurité et de l'ingénierie de plateforme chez Mediatech, propriétaire de Cybernews, a déclaré à LRT que, même sans le texte des messages, savoir à quels services un numéro est lié suffit pour une fraude ciblée. Un faux SMS qui semble venir de votre banque ou de votre compagnie aérienne est bien plus convaincant. Selon lui, l'affaire soulève aussi des questions au regard du RGPD, qui impose de ne conserver les données personnelles que le temps nécessaire.
Ce que disent les entreprises
CSCTelecom n'avait pas répondu à Cybernews au moment de la publication. SEB Latvia indique n'utiliser CSCTelecom que « de façon limitée » pour la publicité de ses fonds de pension, envoyer les informations sensibles par d'autres canaux et ne pas avoir été informée de l'incident par le prestataire. airBaltic dit évaluer la situation avec le prestataire et juge trop tôt pour chiffrer les clients touchés. La compagnie conseille de se méfier des messages, courriels et appels à son nom qui pressent d'agir, contiennent des liens ou demandent des données personnelles. PerlasGo dit aussi évaluer la situation.
Que faire si vous vivez dans les pays baltes
- Si vous avez reçu des SMS de l'une de ces entreprises ces quatre dernières années, partez du principe que votre numéro et les services qui y sont liés sont connus d'autres personnes.
- Pour la banque et la messagerie, passez des codes par SMS à une application d'authentification ou à la validation dans l'application, quand le service le permet.
- Changez les mots de passe des comptes qui utilisaient des codes ou des liens de réinitialisation par SMS.
- Méfiez-vous des appels et messages qui évoquent vos vols, commandes, rendez-vous médicaux ou virements, et vérifiez-les dans l'application ou sur le site officiel.
