Du 12 mars au 17 Juillet dernier, des données de plus de 100 millions de clients de la banque américaine Capital One ont été volées par une seule et même personne, connue sous le nom de Paige A. Thompson. Depuis Seattle, elle a posté les informations piratées sur GitHub en son nom propre et a depuis été arrêtée par le FBI.
Paige Thompson a profité d’une mauvaise configuration de firewall connecté à un service de stockage S3 d’AWS pour y pénétrer et y voler les numéros de cartes bancaires de 100 millions de clients américains et 6 millions de canadiens affiliées à Capital One. Des adresses, codes postaux, numéros de téléphones, adresses email, dates de naissance et déclarations de revenus ont également fuité. Des informations bancaires, comme les historiques de paiement, le solde, etc. étaient aussi accessibles. Et ce n’est pas tout : 140 000 numéros de sécurité sociale et 80 000 numéros de comptes bancaires liés faisaient partie des informations accessibles sur GitHub.
Paige Thompson accusée « d'accès volontaire sans autorisation »
La banque n’était absolument pas au courant de la fuite avant le 17 juillet où elle a reçu un message anonyme l’informant de la brèche. Mais comme cet incident a été possible à cause de l’inattention de la banque, qui n’a pas su sécuriser proprement ses serveurs, Paige Thompson n’a pas été accusée de piratage mais d’accès à un ordinateur volontairement sans autorisation. Dans un communiqué, Capital One indique qu’elle contactera toutes les personnes touchées. « Nous mettrons à la disposition de toutes les personnes concernées un suivi de leurs comptes gratuitement et une protection de leur identité ». La banque prévoit que cet incident lui coûtera 100 à 150 M$ supplémentaires en 2019.