Une gigantesque violation de données RATP a révélé plus de 50 000 dossiers d'employés

Selon les chercheurs de vpnMentor, les informations personnelles de dizaines de milliers d'employés de la RATP, Régie autonome des transports parisiens, ont été exposées en ligne.

Les enquêteurs ont déclaré que la violation s'était produite alors qu'un serveur HTTP non sécurisé avait été laissé "grand ouvert et accessible à toute personne ayant des compétences de base en navigation Web".

Les chercheurs sont tombés sur le serveur exposé le 13 octobre. Selon leur analyse, il contenait plus de 2,5 millions de dossiers (environ 1 Go) dans des répertoires de fichiers organisés.

« Dans ce cas, la RATP utilisait un serveur HTTP exposé pour stocker ses fichiers. Un serveur HTTP est de la même infrastructure sur laquelle les sites Web sont construits et facilement accessible via n'importe quel navigateur Web s'il n'est pas protégé », ont déclaré les chercheurs.

L'étendue de la violation de données

Le rapport indique que le serveur a exposé deux dossiers distincts :

• Le premier dossier contenait des codes sourcés et des fichiers de configuration pour les sites Web de la RATP, y compris des clés API qui permettaient d'accéder à des services tiers tels que le portail des avantages sociaux de l'entreprise. De plus, des données hautement sensibles telles qu'une configuration de base de données avec les identifiants de connexion, des données confidentielles pour l'environnement de développement, des données confidentielles du script de déploiement, une clé d'accès pour envoyer des notifications push aux applications Android, une base de données SQL et des détails sur les comptes de messagerie du personnel de la RATP ont également été exposé.
• Le deuxième dossier contenait une base de données de 57 000 enregistrements d'employés actuels et anciens de la RATP, y compris des informations personnellement identifiables (PII) telles que des noms, des adresses e-mail, des noms de connexion pour les comptes RATP et des mots de passe hachés MD5 obsolètes.

"Notre équipe a pu visualiser les données PII appartenant aux employés actuels et anciens de la RATP au plus haut niveau de l'entreprise, y compris ses dirigeants, l'équipe de cybersécurité, et bien plus encore", ont expliqué les chercheurs. « Le hachage MD5 est une méthode très obsolète, bien que toujours efficace, pour chiffrer les mots de passe en clair stockés en ligne.

"En théorie, les pirates pourraient encore déchiffrer certains des mots de passe en convertissant des milliards de mots de passe en clair en hachages MD5 et en voyant s'ils correspondent à ceux stockés sur le serveur de la RATP", ont ajouté les chercheurs. "Cela ne prendrait pas très longtemps, car un ordinateur portable moderne de base est suffisamment puissant pour convertir des dizaines de milliards de hachages MD5 par seconde."

Les conséquences

L'impact de la violation pourrait être désastreux si des acteurs malveillants accédaient aux fichiers. Des cybercriminels chevronnés auraient pu utiliser les données exposées des employés pour commettre des fraudes et mener des campagnes d'hameçonnage ciblé afin d'obtenir des informations privées supplémentaires pour alimenter des délits liés au vol d'identité, notamment la fraude fiscale, la fraude à l'assurance et les prises de contrôle de compte.

Les clés API stockées sur les serveurs RATP exposés pourraient permettre à des acteurs malveillants d'effectuer des activités sur le compte GitHub, exposant à la fois l'entreprise et les employés à d'énormes risques. Après une attaque réussie, les enquêteurs spéculent que les attaquants pourraient créer ou supprimer des projets logiciels, modifier les configurations sur les applications ou les sites Web en direct, intégrer des portes dérobées malveillantes sur les réseaux ou les applications de la RATP, ou distribuer des rançongiciels pour stopper les applications de la RATP, le réseau et perturber les transports quotidiens dans la capitale.

Êtes-vous victime d'une violation de données ? Vérifiez-le maintenant en utilisant Bitdefender Digital Identity Protection, le service de protection de l'identité numérique de Bitdefender.

L'outil vous permet de prendre des mesures proactives pour contrôler, gérer et protéger votre identité numérique avec des notifications en temps réel qui vous alertent lorsque vos données se retrouvent dans des collectes de données légales ou illégales sur Internet.

Vous obtenez également des recommandations d'experts pour résoudre tout problème de confidentialité détecté afin que vous puissiez garder une longueur d'avance sur les activités malveillantes et protéger votre bien-être financier.