Cloud marketplace Pax8 accidentally exposes data on 1,800 MSP partners

Fuite de données chez Pax8 : Informations sensibles sur des partenaires exposées

Une erreur de manipulation chez Pax8, une plateforme de commerce cloud, a entraîné l’envoi accidentel d’un fichier CSV contenant des données commerciales internes à un nombre restreint de partenaires. Ce fichier, destiné à moins de 40 destinataires au Royaume-Uni, renfermait des informations sensibles relatives à environ 1 800 partenaires, principalement britanniques, ainsi qu’à leurs clients et à leurs licences Microsoft. Un cas isolé a également été identifié au Canada.

Points clés :

• Nature de la fuite : Un fichier CSV joint à un e-mail d’un gestionnaire de comptes stratégiques de Pax8.
• Contenu du fichier : Noms des partenaires et de leurs clients, identifiants, références de produits Microsoft (SKU), quantités de licences, dates de renouvellement des licences via le programme New Commerce Experience (NCE), détails de tarification, coûts bruts et nets, devises, territoires, propriétaires de comptes, dates de provisionnement et de fin de contrat, et codes postaux.
• Destinataires affectés : Environ 1 800 partenaires, principalement basés au Royaume-Uni, avec une occurrence au Canada. Le fichier a été envoyé à moins de 40 destinataires directs.
• Tentatives de correction : L’expéditeur a tenté de rappeler l’e-mail et a ensuite envoyé une nouvelle communication demandant la suppression du message et de sa pièce jointe.
• Déclaration de Pax8 : La société a assuré que le fichier ne contenait pas d’informations personnellement identifiables (PII), mais des données commerciales internes pouvant révéler des détails sur la tarification et la gestion des programmes Microsoft. Il est également précisé qu’aucun impact sur la disponibilité de la marketplace ou sur les contrôles de sécurité n’est à déplorer.
• Risques potentiels : Les informations divulguées sont potentiellement exploitables par des concurrents pour cibler des clients ou par des acteurs malveillants pour mener des campagnes de phishing plus convaincantes, des tentatives de compromission de la messagerie professionnelle (BEC) ou des actions d’extorsion, en particulier lors des périodes de renouvellement de licences. Des rapports font état d’acteurs malveillants cherchant à acquérir ce jeu de données.
• Réponse de Pax8 face à l’incident : Contact direct des destinataires pour demander la suppression de l’e-mail et de la pièce jointe, confirmation de suppression, suivi individuel, et lancement d’une enquête interne pour prévenir toute récurrence.

Vulnérabilités :

Aucune vulnérabilité technique spécifique avec un identifiant CVE n’est mentionnée dans l’article. L’incident découle d’une erreur humaine et d’une mauvaise gestion du partage d’informations sensibles.

Recommandations (implicites et explicites de Pax8) :

• Pour les destinataires : Supprimer immédiatement l’e-mail et sa pièce jointe, et confirmer la suppression.
• Pour Pax8 : Mener une enquête interne approfondie pour identifier la cause de l’erreur et mettre en place des mesures préventives pour éviter de futurs incidents.
• Pour tous les acteurs du secteur : Exercer une diligence accrue dans la manipulation et le partage de données sensibles, et être vigilant face aux tentatives d’acquisition de données potentiellement compromises.

Source