Pour la deuxième journée de notre semaine d’histoires d’horreur, voici les récits de vols de données des applications Uber et MyFitnessPal.   

Uber

En octobre 2016, des pirates informatiques ont volé les données personnelles de 57 millions d’utilisateurs d’Uber, incluant 600 000 de ses chauffeurs. C’est une violation massive que l’entreprise a dissimulée pendant plus d’un an ! 

Uber est une application populaire à travers le monde qui se spécialise principalement en transport avec chauffeur privé.  

L’attaque a permis aux pirates d’acquérir plusieurs informations personnelles ou sensibles :  noms, courriels, numéros de téléphone ainsi que les numéros de permis de conduire des 600 000 chauffeurs. Toutefois, selon Uber, les informations bancaires de ses clients n’auraient pas été parmi les données qui ont été volées.  

Même si l’entreprise n’a pas dévoilé cette faille de sécurité pendant plus d’un an, le PDG a assuré qu’il n’a pas pris l’attaque à la légère et qu’Uber a payé une rançon de 100 000 dollars US en échange de la destruction des données. Ils ont également payé des services de protection d’identité à ses chauffeurs. Selon quelques sources, les données n’auraient pas été utilisées par la suite. 

« Bien que je ne puisse pas effacer le passé, je peux m’engager au nom de tous les employés d’Uber que nous apprenons de nos erreurs. Nous changeons la façon dont nous faisons des affaires en mettant l’intégrité au cœur de toute décision et en travaillant fort pour gagner la confiance de nos clients. » 

-M. Khosrowshahi, PDG, Uber 

Le chef de la sécurité à la firme de sécurité informatique Cybereason, Sam Curry a répliqué en disant : 

« Ce qui fait vraiment peur dans ça, c’est qu’Uber a payé un pot-de-vin, essentiellement une rançon, pour se débarrasser de cette faille, et ils ont agi comme s’ils étaient au-dessus des lois. » 

Dans tous les cas, il est déconseillé de payer une rançon, selon le portail Cyber.gc.ca ainsi que plusieurs experts. La décision de payer un auteur de menace pour qu’il vous redonne l’accès à vos fichiers et à vos dispositifs est difficile, et vous vous sentirez probablement pressé de répondre à ses demandes. Avant de payer, communiquez avec votre poste de police local et signalez le cybercrime. 

En tant qu’entreprise, il est important de savoir comment se protéger des pirates informatiques ainsi que comment détecter et gérer les failles. Il n’y a pas seulement que des dommages financiers qui découlent de ces cyberattaques. Ce sont aussi les procédures des entreprises pour gérer ces crises qui auront un impact sur le niveau des dommages engendrés ainsi qu’un impact grand et direct sur la réputation même de l’entreprise. 

MyFitnessPal

MyFitnessPal, une application appartenant à la marque UnderArmour, a été victime d’un piratage informatique causant le vol de données de 150 millions d’utilisateurs en 2018. Cette fuite de données se démarque des autres cyberattaques principalement en raison du volume des données obtenues par les voleurs. C’est pourquoi elle est la plus importante fuite ayant été détectée en 2018.  

MyFitnessPal est une application mobile qui est aussi disponible en ligne via un site Web. Sa fonction principale est de permette à ses utilisateurs de faire un suivi de leurs entraînements physique, leur consommation d’eau et alimentaire. 

La cyberattaque aurait eu lieu vers la fin du mois de février, mais l’entreprise affirme qu’elle ne s’en est rendu compte que le 25 mars : une tierce partie aurait eu accès à des données sensibles associées aux comptes de ses utilisateurs.  

Ces données volées comprennent les prénoms et noms des utilisateurs, leurs courriels et les protections associées à leur mot de passe (hash passwords). Les informations bancaires n’ont pas été affectées parce qu’elles sont traitées et stockées séparément de ces données de compte.  

Contrairement au cas précédent, UnderArmour a été très réactif. Dès la découverte de la cyberattaque, ils ont envoyé un courriel à leurs utilisateurs leur révélant avoir été victime d’une faille de sécurité. Ils ont ensuite engagé une société de sécurité informatique spécialisée dans les données pour mener une enquête et ils ont également collaboré ouvertement avec les autorités.  

Ils ont aussi avisé leurs utilisateurs de changer leur mot de passe par mesure de précaution et ils les ont conscientisés aux risques liés à l’hameçonnage pour ne pas que les pirates réussissent à atteindre leur objectif. 

En bref

L’application MyFitnessPal et Uber ont tous les deux réagi très différemment face à une fuite de données causée par une cyberattaque. En tant qu’entreprise, comment auriez-vous réagi ?  

MS Solution peut vous aider à éviter d’être la prochaine cible d’une cyberattaque. Nous offrons des services TI en cybersécurité pour le bureau, le télétravail et le travail en mode hybride. Renseignez-vous sur notre formation en cybersécurité pour développer les compétences de votre équipe afin d’identifier et gérer les cybermenaces et n’hésitez pas à nous contacter pour éviter de subir une fuite de données dans votre entreprise !