Maine breach portal abused to publish fake data breach disclosures

Manipulation du portail de notification de violation de données du Maine

Le portail officiel de déclaration des violations de données du procureur général de l’État du Maine a été utilisé pour diffuser de fausses informations. Des acteurs malveillants y ont publié de faux avis de compromission concernant des entreprises telles que VRChat et Discord, portant atteinte à leur réputation et semant la panique auprès des utilisateurs.

Points clés :

• Absence de vérification : Le processus de soumission permet à n’importe qui de déposer une déclaration sans validation préalable par les autorités, rendant le portail vulnérable aux abus.
• Campagne de désinformation : Les fausses notifications sont rédigées de manière sophistiquée, incluant parfois des détails techniques crédibles et des courriers de notification factices.
• Risques de réputation : Ces publications non vérifiées peuvent induire en erreur le public, les médias et les investisseurs avant que les entreprises visées ne puissent démentir les faits.

Vulnérabilités :

• Il ne s’agit pas d’une vulnérabilité logicielle (CVE) au sens classique, mais d’une faille de processus métier (Process Vulnerability) : l’absence de mécanisme d’authentification et de validation humaine pour les soumissions publiques sur une plateforme gouvernementale critique.

Recommandations :

• Pour les autorités : Implémenter une procédure de vérification obligatoire de l’identité des déposants et authentifier la légitimité des entreprises avant toute publication publique des avis.
• Pour le public et les journalistes : Ne jamais considérer comme authentique une notification de violation de données sans effectuer une vérification croisée auprès des canaux de communication officiels de l’entreprise concernée.
• Pour les entreprises : Surveiller activement les portails de divulgation publics pour détecter toute mention frauduleuse et établir un protocole de réponse rapide pour demander le retrait immédiat des fausses déclarations.

Source