MobiKwik, fournisseur indien de services de paiement et de wallet, aurait été piraté. Les informations de connaissance du client (KYC) de près de 3,5 millions de consommateurs pourraient avoir été divulguées.
Bien que MobiKwik ait nié le piratage, d’autres sources semblent l’avoir confirmé. Un vendeur aurait notamment mis en vente les 8,2 To de données KYC sur un forum de hackeurs du dark web pour 1,5 bitcoin (BTC).
Les données KYC de MobiKwik se retrouvent sur le dark web
MobiKwik a été fondée à Gurugram, en Inde, en 2009. L’entreprise propose des services de paiement et un portefeuille numérique via une application mobile. Puis, en 2016, L’entreprise a commencé à offrir des petits prêts à ses utilisateurs. Pour cela, il était alors nécessaire que ces derniers soumettent des informations de connaissance du client.
Selon le chercheur indépendant Rajshekhar Rajaharia, les données KYC piratées de MobiKwik sont apparues sur un forum du dark web destiné aux hackeurs. Le vendeur a mis en place un portail où un utilisateur peut effectuer une recherche par numéro de téléphone ou par identifiant de messagerie et obtenir des résultats spécifiques sur un total de 8,2 To de données. Un acheteur peut recevoir les droits exclusifs sur l’ensemble de la base de données pour 1,5 BTC. Apparemment, un utilisateur a déjà essayé de récupérer les 99 millions d’entrées.
Selon le vendeur, chaque entrée de la base de données peut permettre de lever 500 à 1 000 dollars de prêts en roupies. L’investissement de 1,5 BTC pourrait ainsi valoir jusqu’à 3 milliards de dollars. Le vendeur affirme avoir déjà été en mesure d’obtenir des prêts avec ces informations comme preuve de concept.
L’entreprise nie les faits
Au sujet de cet incident, MobiKwik a répondu : “Certains prétendus chercheurs en sécurité, obsédés par les médias, ont tenté à plusieurs reprises de présenter des fichiers concoctés, faisant perdre un temps précieux à notre organisation ainsi qu’aux membres des médias. Nous avons mené une enquête approfondie et n’avons trouvé aucune faille de sécurité. Les données de nos utilisateurs et de notre entreprise sont totalement sûres et sécurisées.”
Cependant, cette réponse n’explique pas pourquoi le vendeur affirme également que la source des données est bien MobiKwik. De plus, les échantillons vus sur le portail contiennent des images de codes QR de MobiKwik.
Les “soi-disant chercheurs en sécurité obsédés par les médias” sont une référence voilée à Rajaharia. Au début du mois, le chercheur en sécurité Internet a déclaré dans un tweet que les données des titulaires de cartes avaient été divulguées à partir du serveur de MobiKwik. MobiKwik a également démenti cette allégation et a menacé Rajaharia de poursuites judiciaires pour avoir fait ces assertions sans preuves suffisantes. Cependant, la société a admis qu’une violation de données avait eu lieu en 2010.
Bien que cela puisse s’avérer être la plus grande fuite d’informations KYC à ce jour, de nombreux cas de piratage de moindre envergure se produisent à une fréquence alarmante. Le 15 mars, des pirates ont détourné les noms de domaine de PancakeSwap et de Cream Finance. Les utilisateurs qui tentaient d’accéder à ces sites ont été dirigés vers une adresse inconnue et ont été invités à fournir les phrases de lancement de leur portefeuille. Plus tôt en février, un autre piratage a entraîné un vol de 37,5 millions de dollars sur Cream.
Avis de non-responsabilité
Avis de non-responsabilité : Conformément aux directives de The Trust Project, BeInCrypto s'engage à fournir des informations impartiales et transparentes. Cet article vise à fournir des informations exactes et pertinentes. Toutefois, nous invitons les lecteurs à vérifier les faits de leur propre chef et à consulter un professionnel avant de prendre une décision sur la base de ce contenu.
