Une base de données récemment découverte et désormais supprimée contenait environ 2,7 milliards de numéros de sécurité sociale ainsi qu’environ 3 milliards d’adresses e-mail et de mots de passe. Les chercheurs en cybersécurité d’UpGuard ont identifié les données exposées en janvier, hébergées par le fournisseur de cloud allemand Hetzner. L’ampleur de la violation soulève de sérieux risques d’usurpation d’identité pour potentiellement des millions d’Américains, même si de nombreux enregistrements peuvent être des doublons ou obsolètes.
La portée de l’exposition
La base de données n’était pas liée à un seul piratage récent. Au lieu de cela, il semble s’agir d’un amalgame de données extraites de plusieurs violations passées, y compris potentiellement l’incident de 2024 au sein de la société de vérification des antécédents National Public Data. Les courtiers en données et les criminels combinent régulièrement des ensembles de données de ce type, mais leur volume rend cette affaire particulièrement alarmante. Les enregistrements exposés remontent à environ 2015, mais les données volées restent précieuses pendant des années en raison de la réutilisation des mots de passe et de la nature immuable des numéros de sécurité sociale.
Pourquoi c’est important
La persistance des SSN exposés est un problème clé. Contrairement aux mots de passe, qui peuvent être modifiés, un numéro de sécurité sociale valide reste un atout à vie pour les voleurs d’identité. L’analyse d’UpGuard d’un échantillon de 2,8 millions d’enregistrements suggère qu’environ un SSN sur quatre est légitime. L’extrapolation à l’ensemble des données implique que plus de 675 millions de nombres potentiellement valides ont été exposés.
Le véritable danger est que de nombreuses victimes ignorent que leurs données ont été compromises. Cette violation pourrait entraîner une fraude financière, des dommages au crédit et d’autres formes d’usurpation d’identité.
Comment la violation a été gérée
UpGuard a contacté Hetzner après avoir validé l’exposition des données. Le fournisseur de cloud a supprimé la base de données le 21 janvier après en avoir été informé. Le propriétaire initial de la base de données reste inconnu.
Risque à long terme
Le fait que de nombreuses personnes exposées n’aient pas encore subi d’usurpation d’identité ne signifie pas qu’elles sont en sécurité. Les cybercriminels stockent souvent les données volées pour une utilisation ultérieure, testant les informations d’identification au fil du temps. La divulgation des SSN garantit que des millions de personnes restent vulnérables à la fraude à long terme.
L’incident met en évidence la menace persistante de violations de données à grande échelle et la nécessité d’améliorer les pratiques de sécurité parmi les courtiers en données et les fournisseurs de cloud. Les particuliers doivent rester vigilants face aux fraudes potentielles et surveiller leurs rapports de crédit pour détecter toute activité suspecte.
