RUGBY : Un compartiment Amazon Web Services (AWS) Simple Storage Service (S3) accessible au public
L’équipe de recherche de Cybernews a découvert que les superviseurs du rugby du Pays de Galles, la Welsh Rugby Union (WRU), ont exposé un ensemble de données contenant les données personnelles de près de 70 000 de ses membres.
Pour lire l’étude complète, veuillez cliquer ici.
Principales conclusions :
- La WRU a laissé un compartiment Amazon Web Services (AWS) Simple Storage Service (S3) accessible au public.
- L’instance exposée contenait 1419 fichiers texte avec des détails sur 69 317 membres de la WRU.
- L’instance exposée a été nommée « prod », ce qui signifie généralement « production », ce qui indique que la WRU a utilisé le compartiment pour stocker et gérer les données utilisées dans son environnement opérationnel.
Quelles données des membres de la WRU ont été exposées ?
Les chercheurs affirment que l’instance exposée contenait une mine de données sur des dizaines de milliers de membres de la WRU, telles que :
- Noms et prénoms
- Dates de naissance
- Adresses personnelles
- Numéros de téléphone
- Adresses e-mail
- Date d’achat de l’abonnement
- Mode de paiement de l’adhésion
- Type d’adhésion achetée
Quel est l’impact de la fuite ?
« En exploitant les données, les attaquants pourraient s’engager dans des tactiques de manipulation visant à persuader des individus sans méfiance de divulguer d’autres informations sensibles ou d’entreprendre des actions qui compromettent leur sécurité », ont déclaré nos chercheurs.
De plus, les adresses e-mail et les numéros de téléphone exposés constituent un terrain fertile pour le spear phishing ou d’autres campagnes d’ingénierie sociale ciblées. Les acteurs de la menace peuvent s’appuyer sur des fuites de détails pour élaborer des communications trompeuses, notamment des courriels, des messages ou des appels, prétendant provenir de sources légitimes.
Un autre moyen d’abuser des informations divulguées est ce que les experts en cybersécurité appellent le doxxing, ou l’exposition d’adresses personnelles. Les acteurs malveillants peuvent utiliser les informations divulguées pour le vol, le cambriolage ou l’incursion physique.
WRU n’est pas la première agence sportive à divulguer des données d’utilisateurs. Plus tôt cette année, des chercheurs ont découvert que l’Aston Villa Football Club (AVFC) avait laissé une fuite publique d ‘Amazon Web Services (AWS) S3 contenant les informations personnelles identifiables de 135 770 personnes. Les informations personnelles exposées contiennent les noms complets, les dates de naissance, les adresses personnelles, les numéros de téléphone, les adresses e-mail, les détails de l’adhésion, les détails de l’achat.