Les cyberattaques contre des fournisseurs de services sont désormais courantes et sont presque à chaque fois l'occasion de dérober une partie des données personnelles des utilisateurs.

Sans forcément obtenir l'accès direct aux comptes des clients, les pirates peuvent siphonner des bases de données contenant des informations qui, mises bout à bout, peuvent permettre de dresser des profils assez complets en vue de réaliser des usurpations d'identité ou du phishing pour dérober des données plus sensibles.

La cyberattaque dont a été victime le gestionnaire des parkings Indigo suit ce schéma classique de récupération d'informations dans ses bases de données : nom, adresse postale, adresse email, numéro de téléphone mais il ajoute une particularité, à savoir la possibilité de relier ces information à un numéro de plaque d'immatriculation.

Gare au phishing et aux usurpations

Ce type de donnée est moins commun dans les listings mis à disposition sur le marché noir et pourra sans doute être utilement utilisé pour compléter le profil de futures victimes et utilisé comme vecteur d'actes malveillants en se faisant passer pour le propriétaire du véhicule ou pour de faux messages contenant des informations personnelles véridiques pour endormir la méfiance des personnes ciblées.

Aucun mot de passe ni identifiant n'a a priori été récupéré, pas plus que des informations bancaires. Les sécurités des bases de données ont été renforcées mais le mal est fait et il reste possible que les données subtilisées servent prochainement pour des tentatives d'hameçonnage par SMS, téléphone ou e-mail qui, elles, pourraient permettre d'accéder à ces données plus sensibles.

La récupération du numéro de plaque pourrait en outre donner lieu à des fraudes diverses, comme l'usurpation d'identité et la redirection de contraventions d'autres véhicules dotés de fausses plaques vers les victimes, en plus de phishing simulant un avertissement du service de contraventions ANTAI avec le véritable numéro de plaque semblant donner une légitimité supplémentaire au message.

Les cyberattaques, un fléau récurrent

Une autre source de préoccupation pourrait venir du fait qu'il sera potentiellement possible de suivre les déplacements d'un véhicule à partir de ses passages dans les parkings.

Il conviendra donc aux utilisateurs ciblés d'être prudents dans les prochains mois et de garder à l'esprit que ces éventuels messages peuvent avoir été forgés de toutes pièces.

L'exemple du vol des IBAN dans les bases de données de l'opérateur Free avait donné lieu à une campagne de phishing ciblée avec de faux messages Amazon mais contenant leurs vraies données pillées précédemment.

De son côté, le groupe Indigo, aux plus de 5500 parkings dans le monde, soit environ 2 millions de places, indique avoir porté plainte et reporté l'incident à la CNIL (Commission nationale de l'informatique et des libertés).