La faille de TransUnion expose les données personnelles de 4,4 millions de personnes aux États-Unis

Le géant américain de l'information sur le crédit, TransUnion, a été victime d'une énorme violation de données qui a entraîné l'exposition de données personnelles appartenant à 4,4 millions de personnes basées aux États-Unis.

Selon les documents déposés auprès du procureur général du Maine, la faille a été découverte au début de l'année, le 30 juillet, deux jours après l'incident de piratage.

TransUnion, qui recueille et rassemble des informations sur plus d'un milliard de consommateurs dans plus de trente pays, est l'une des trois grandes agences américaines d'évaluation du crédit, aux côtés d'Experian et d'Equifax.

Bien que TransUnion ait déclaré que les données compromises ne comprenaient pas les détails des cartes de crédit, les acteurs de la menace auraient réussi à accéder à des numéros de sécurité sociale appartenant à des Américains.

Selon Bleeping Computer, les données ont été volées sur le compte Salesforce de TransUnion, et l'attaque ferait partie d'une opération plus vaste liée au groupe de pirates ShinyHunters, qui a également ciblé récemment une base de données Google gérée par la plateforme cloud de Salesforce.

Bien que cette violation ait donné lieu à un accès non autorisé à des fichiers commerciaux, y compris des noms d'entreprises et des coordonnées de clients, Google a déclaré qu'il ne pensait pas que des mots de passe aient été volés.

Parmi les autres victimes de la vague d'attaques de vols de données liées à Salesforce de cette année figurent des entreprises de renom telles que Allianz Life, Farmers Insurance, Quantas, Cisco et Chanel.

ShinyHunters affirme que les données volées de TransUnion contiennent plus de 13 millions d'enregistrements, dont 4,4 millions concernent des personnes basées aux États-Unis. 

Le groupe d'extorsion a partagé un échantillon de données volées qui contiendrait les informations sensibles des clients de TransUnion, telles que les noms, les numéros de téléphone, les dates de naissance, les adresses de facturation, les adresses électroniques et les numéros de sécurité sociale non expurgés.

Un échantillon des notifications de violation de données de TransUnion (envoyées aux clients concernés) a révélé que l'agence d'évaluation du crédit avait "subi un cyberincident impliquant une application tierce" servant ses opérations d'assistance aux consommateurs aux États-Unis.

"L'accès non autorisé concerne certaines informations personnelles limitées vous appartenant", poursuit l'avis de violation de données.

Bien que les détails exacts n'aient pas été donnés quant à ce qui a été volé, TransUnion a précisé qu'aucun rapport de crédit ou information de base sur le crédit n'avait été compromis au cours de la cyberattaque.

L'agence a également offert deux ans de protection gratuite contre l'usurpation d'identité et de surveillance du crédit à tous les clients concernés.

Les chercheurs en cybersécurité continuent d'exhorter les personnes touchées par cette violation massive à changer immédiatement leurs mots de passe, à geler leur crédit et à activer les alertes à la fraude sur leurs comptes bancaires. TotalAV équipé d'une analyse en temps réel 24 heures sur 24 et 7 jours sur 7, ainsi que d'une foule d'autres outils de pointe essentiels pour l'industrie.