La néobanque Dave a confirmé l’existence d’une faille de sécurité ayant impacté un très grand nombre d’utilisateurs.

Les données personnelles des 7,5 millions de personnes concernées impliquent les noms, les numéros de téléphone, les emails, les adresses, mais aussi les données de sécurité sociale en version chiffrée. Pour l’instant, elles ne semblent pas avoir été utilisées à des fins malveillantes, déclare la licorne. Les numéros de comptes et de cartes de crédit ne sont pas concernés.

Les données personnelles partagées sur un forum public

Dave a déclaré qu’il était en train d’avertir les utilisateurs et qu’il avait comblé la faille de sécurité afin que celle-ci ne soit plus accessible aux pirates informatiques. Cette vulnérabilité viendrait du réseau d’un ancien partenaire du nom de Waydev.

Les mots de passe des utilisateurs sont également en cours de réinitialisation, car ils ont été exposés sur des forums publics, bien qu’ils aient été hachés à l’aide de bcrypt, une méthode pour éviter que des personnes malveillantes puissent les consulter.

Le média spécialisé ZDNet indique que les données personnelles ont été partagées sur RAID, une plateforme sur laquelle de nombreux pirates font régulièrement fuiter les bases de données après avoir eu accès à ces dernières.

Connu sous le nom de ShinyHunters, le groupe de hackers en question est à l’origine de plusieurs piratages et ventes de data ayant visé des entreprises, dont Mathway et Tokopedia, une société d’ecommerce indonésienne. Cette fois-ci, les données personnelles sont accessibles gratuitement en téléchargement.

Dave a indiqué dans une déclaration : « Dès que Dave a eu connaissance de cet incident, la société a immédiatement lancé une enquête, qui est en cours, et se coordonne avec les forces de l’ordre, y compris avec le FBI, concernant les allégations d’une partie malveillante selon lesquelles elle aurait ‘craqué’ certains de ces mots de passe et tenterait de vendre les données des clients de Dave ».