A Cautionary Tale About Data Breach Claims, Verification and Carhartt

Analyse critique de la fuite de données Carhartt

L’analyse d’une fuite de données attribuée au groupe « ShinyHunters » visant la marque Carhartt révèle une réalité plus complexe que les affirmations initiales des cybercriminels. Bien que le volume total de données brutes s’élevait à plus de 24 millions d’adresses email, un processus de vérification rigoureux a permis de démontrer qu’une part importante de ces données était constituée de bruit technique.

Points clés :

• Contamination par des données de test : Les pirates ont exfiltré un environnement Databricks contenant non seulement des données clients réelles, mais également des données de benchmark (TPC-DS) et des environnements de test de performance.
• Absence de fiabilité des chiffres bruts : Les analyses automatiques initiales surestimaient le nombre de victimes en incluant des enregistrements synthétiques générés par des algorithmes (noms plausibles associés à des domaines de messagerie aléatoires ou inexistants).
• Nettoyage des données : Après avoir écarté les doublons (alias Microsoft M365), les comptes désactivés, les domaines de tests (ex: wctest.com) et les données de benchmark, le nombre réel d’adresses email uniques compromises s’établit à environ 13 millions, au lieu des 25 millions annoncés.
• Preuve de légitimité : Malgré la présence de données de test, la fuite est authentique. La présence d’adresses email d’employés, d’identifiants système internes, de domaines de gestion des fraudes (carharttdonotship.com) et d’adresses email avec des alias de sous-adressage (ex: utilisateur+carhartt@email.com) confirme l’origine interne des données.

Vulnérabilités :

• Exfiltration d’environnement analytique : La compromission ne provient pas d’une base de données transactionnelle directe, mais d’une plateforme d’analytique (Databricks) où les données de production et les données de test étaient co-localisées.
• Mauvaise segmentation des environnements : Le stockage de données de test (benchmark TPC-DS) dans le même espace que les données clients réelles facilite la confusion et augmente la surface d’exposition lors d’une brèche.

Recommandations :

• Isolation des environnements : Séparer strictement les environnements de développement, de test de performance et de production pour éviter que des données de test ne soient accessibles via les mêmes vecteurs que les données sensibles.
• Hygiène des données : Nettoyer régulièrement les environnements analytiques des données obsolètes ou synthétiques non nécessaires.
• Vérification des sources : Ne pas se fier aveuglément aux chiffres annoncés par les groupes cybercriminels lors de revendications de fuites de données ; une analyse approfondie est nécessaire pour distinguer les données réelles des “déchets” numériques.
• Gestion des accès : Appliquer le principe du moindre privilège sur les plateformes de données cloud (Data Lakes/Lakehouses) pour limiter l’impact d’une compromission de compte.

Source