Une demande de 3,3 millions de dollars et une fuite de 50 Go

La saga de la fuite de données chez Carhartt a pris un nouveau tournant ce mois-ci après que des chercheurs en sécurité ont déterminé qu'une partie importante des données divulguées était synthétique plutôt que de véritables informations clients. Le groupe d'extorsion ShinyHunters avait prétendu avoir divulgué 50 Go de données de Carhartt le 13 août, après l'échec d'une négociation suite à une demande de rançon initiale de 3,3 millions de dollars. Lorsque Carhartt aurait refusé de payer, le groupe a publié l'ensemble de données publiquement, le présentant comme la preuve d'une compromission massive.

À première vue, la fuite semblait énorme. Mais comme c'est souvent le cas avec les réclamations de fuite motivées par l'extorsion, la taille brute du fichier et le nombre d'enregistrements ne racontaient qu'une partie de l'histoire. Un examen technique plus approfondi a révélé que les données comprenaient des entrées fabriquées ou dupliquées, ce qui signifie que l'étendue réelle des informations personnelles exposées était considérablement plus réduite que ce que ShinyHunters avait annoncé.

Comment les analystes ont découvert les chiffres gonflés

Ce schéma n'est pas nouveau. Comme nous l'avons évoqué dans notre rapport précédent sur les réclamations de fuite chez Carhartt réduites de moitié après l'examen de Troy Hunt, la vérification indépendante est souvent le seul moyen de distinguer une fuite légitime d'une tactique d'extorsion gonflée. Les chercheurs qui ont examiné les fichiers divulgués les ont soumis à des outils de déduplication et de validation conçus pour signaler les enregistrements faux ou générés automatiquement, comme des domaines de courriel absurdes, des schémas d'adresses répétés ou des entrées ne correspondant à aucun compte réel.

Le résultat a été une réduction significative du nombre confirmé de personnes concernées une fois les enregistrements synthétiques et dupliqués supprimés. Cela ne signifie pas qu'aucune donnée réelle n'a été exposée. Cela signifie que le nombre réel de clients impactés était bien inférieur au chiffre principal que ShinyHunters a utilisé pour faire pression sur Carhartt et susciter l'attention des médias.

Cette tactique sert un double objectif pour les acteurs malveillants. Une taille de fichier plus importante et plus alarmante rend la menace d'extorsion plus crédible et plus dommageable, augmentant la pression sur l'entreprise victime pour qu'elle paie. Elle génère également une couverture médiatique disproportionnée, que les groupes d'extorsion utilisent souvent comme levier dans de futures négociations avec d'autres cibles. Gonfler une fuite avec des données synthétiques coûte peu à l'attaquant mais peut considérablement modifier la perception publique de la gravité d'un incident.

Pourquoi cela importe pour la vie privée, pas seulement pour les gros titres

Les implications en matière de vie privée ici sont plus subtiles que dans une histoire de fuite typique. Lorsque les réclamations de fuite sont gonflées, deux choses se produisent simultanément. Premièrement, le public et même les professionnels de la sécurité peuvent surestimer la quantité de données personnelles authentiques en circulation, ce qui entraîne une panique inutile ou des efforts de réponse mal orientés. Deuxièmement, et plus important encore, cela peut faire en sorte que les véritables victimes, les personnes dont les données ont réellement été incluses et vérifiées, se perdent dans le bruit d'une histoire dominée par des chiffres exagérés.

Pour une entreprise comme Carhartt, l'incident illustre également le risque réputationnel qui accompagne toute tentative d'extorsion, indépendamment de la part des données revendiquées qui s'avère authentique. Une fois qu'un groupe de menaces annonce une fuite et un montant de rançon, l'histoire se propage rapidement, et corriger le bilan par la suite obtient rarement le même niveau d'attention que la réclamation initiale.

Ce que cela signifie pour vous

Si vous êtes un client ou un employé de Carhartt et que vous vous demandez si vos informations faisaient partie de cette fuite, l'approche la plus sûre est de considérer toute exposition comme possible plutôt que confirmée, sans supposer les chiffres du pire scénario rapportés au plus fort de la tentative d'extorsion. Des enregistrements authentiques auraient été inclus dans la fuite aux côtés d'enregistrements fabriqués, donc la vérification importe plus que la taille totale du fichier ou le nombre d'enregistrements que ShinyHunters a publiés.

Plus largement, cet incident rappelle que les réclamations de fuite émanant de groupes d'extorsion doivent toujours être considérées comme non vérifiées jusqu'à ce que des analystes indépendants ou l'entreprise concernée confirment les détails. Les demandes de rançon et les annonces dramatiques de fuite sont, en partie, une tactique de pression, et les chiffres qui y sont associés ne sont pas toujours fiables.

Points à retenir pratiques

  • Ne paniquez pas en vous basant uniquement sur les chiffres principaux des fuites ; attendez une analyse vérifiée avant de supposer que vos données ont été exposées.
  • Si vous avez un compte Carhartt, envisagez de changer votre mot de passe et d'activer l'authentification à deux facteurs lorsque cela est disponible.
  • Méfiez-vous des tentatives de hameçonnage qui font référence à la fuite, car les attaquants exploitent souvent l'actualité publique des fuites pour inciter les victimes à révéler plus d'informations.
  • Utilisez un gestionnaire de mots de passe pour éviter de réutiliser des identifiants sur plusieurs sites, limitant ainsi les dégâts si un compte est compromis.
  • Restez sceptique face aux réclamations des groupes d'extorsion jusqu'à confirmation par des chercheurs indépendants, car les chiffres gonflés sont une tactique de négociation connue.