Aura confirms data breach exposing 900,000 marketing contacts

Fuite de données chez Aura : 900 000 contacts marketing exposés

La société de protection de l’identité Aura a confirmé une violation de données ayant entraîné l’exposition d’environ 900 000 enregistrements clients. L’incident découle d’une attaque par hameçonnage vocal (vishing) visant un employé, permettant à des acteurs malveillants d’accéder à un outil marketing hérité d’une acquisition réalisée en 2021. Le groupe de cybercriminels ShinyHunters a revendiqué l’attaque et publié les données après l’échec de leurs tentatives d’extorsion.

Points clés :

• Données exposées : Noms complets, adresses électroniques, adresses postales, numéros de téléphone, commentaires de service client et adresses IP.
• Données sécurisées : Aura précise que les numéros de sécurité sociale, les mots de passe et les informations financières ne sont pas concernés.
• Portée : L’incident touche environ 35 000 clients actuels et anciens d’Aura, le reste des 900 000 entrées étant lié à des contacts marketing historiques.
• Contexte : 90 % des adresses e-mail exposées figuraient déjà dans des bases de données de violations antérieures selon le service Have I Been Pwned.

Vulnérabilités :

• Vecteur principal : Ingénierie sociale (hameçonnage vocal).
• CVE : Aucune vulnérabilité logicielle spécifique (CVE) n’est mentionnée ; l’incident repose sur une faille humaine et un accès non autorisé aux systèmes internes.

Recommandations :

• Pour les utilisateurs : Bien que les données financières soient intactes, il est conseillé aux personnes concernées de rester vigilantes face à une augmentation potentielle de tentatives d’hameçonnage (phishing) ciblées utilisant les données exposées.
• Pour les organisations : Renforcer la formation des employés à la détection des techniques d’ingénierie sociale (vishing) et appliquer le principe du moindre privilège aux outils marketing et aux bases de données héritées des entreprises acquises.

Source