Violation de données à la RATP : 50 000 dossiers d'employés exposés

Les informations personnelles de dizaines de milliers d'employés du géant parisien des transports, la RATP (Régie autonome des transports parisiens), ont été divulguées en ligne, selon des chercheurs de vpnMentor.

Les enquêteurs ont déclaré que la violation s'était produite alors qu'un serveur HTTP non sécurisé était resté "grand ouvert et accessible à toute personne possédant des compétences de base en navigation Web".

Les chercheurs sont tombés sur le serveur exposé le 13 octobre. Selon leur analyse, il contenait plus de 2,5 millions d'enregistrements (environ 1 Go) dans des répertoires de fichiers organisés.

« Dans ce cas, la RATP utilisait un serveur HTTP exposé pour stocker ses fichiers. Un serveur HTTP est la même infrastructure sur laquelle les sites Web sont construits et facilement accessible via n'importe quel navigateur Web s'il n'est pas protégé », ont déclaré les chercheurs.

L'étendue de la violation de données

Le rapport indique que le serveur a exposé deux dossiers distincts :

• Le premier dossier contenait les codes sources et les fichiers de configuration des sites Internet de la RATP, dont des clés API permettant d'accéder à des services tiers tels que le portail des avantages sociaux de l'entreprise. De plus, des données hautement sensibles telles que la configuration de la base de données avec les identifiants de connexion, les données confidentielles pour l'environnement de développement, les données confidentielles du script de déploiement, la clé d'accès pour envoyer des notifications push aux applications Android, une base de données SQL et des détails sur les comptes de messagerie du personnel RATP ont également été exposé.
• Le deuxième dossier contenait une base de données de 57 000 enregistrements d'employés actuels et anciens de la RATP, y compris des informations personnellement identifiables (PII) telles que des noms, des adresses e-mail, des noms de connexion pour les comptes RATP et des mots de passe hachés MD5 obsolètes.

"Notre équipe a pu visualiser les données PII appartenant aux employés actuels et anciens de la RATP au plus haut niveau de l'entreprise, y compris ses dirigeants, son équipe de cybersécurité et bien plus encore", ont expliqué les chercheurs. « Le hachage MD5 est une méthode très obsolète, bien que toujours efficace, pour chiffrer les mots de passe en clair stockés en ligne.

"En théorie, les pirates pourraient toujours déchiffrer certains des mots de passe en convertissant des milliards de mots de passe en clair en hachages MD5 et en voyant s'ils correspondent à ceux stockés sur le serveur de la RATP", ont ajouté les chercheurs. « Cela ne prendrait pas très longtemps, car un ordinateur portable moderne de base est suffisamment puissant pour convertir des dizaines de milliards de hachages MD5 par seconde.

La suite

L'impact de la violation pourrait être désastreux si des acteurs malveillants accédaient aux fichiers. Des cybercriminels chevronnés auraient pu utiliser les données d'employés exposées pour commettre des fraudes et mener des campagnes d'hameçonnage ciblées afin d'obtenir des informations personnelles ou privées supplémentaires auprès d'individus afin d'alimenter les cybercrimes liés au vol d'identité, notamment la fraude fiscale, la fraude à l'assurance, la fraude postale et les prises de contrôle de compte.

Les clés API stockées sur les serveurs RATP exposés auraient pu permettre à des acteurs malveillants d'effectuer des activités avec son compte GitHub, exposant à la fois l'entreprise et les employés à des risques énormes. Après une attaque réussie, les enquêteurs pensent que les attaquants pourraient créer ou supprimer des projets logiciels, modifier les configurations sur des applications ou des sites Web en direct, intégrer des portes dérobées malveillantes sur les réseaux ou les applications RATP, ou installer des ransomwares pour bloquer les applications RATP, mettre en réseau et perturber les transports quotidiens de la ville de Paris.

Êtes-vous victime d'une violation de données ? Vérifiez-le maintenant en utilisant Digital Identity Protection, le service de protection de l'identité numérique de Bitdefender. L'outil vous permet de prendre des mesures proactives pour contrôler, gérer et protéger votre présence numérique avec des notifications en temps réel qui vous alertent lorsque vos informations personnelles se retrouvent dans des collectes de données légales ou illégales sur Internet. Vous obtenez également des recommandations d'experts pour résoudre tout problème de confidentialité détecté afin que vous puissiez garder une longueur d'avance sur les activités malveillantes et protéger votre bien-être financier.