La société de location de voitures Europcar affirme qu’elle n’a pas subi de violation de données et que les données des clients partagées sont fausses après qu’un acteur menaçant a prétendu vendre les informations personnelles de 50 millions de clients.

Dimanche, une personne a prétendu vendre les données pour 48 606 700 Europcar.com clients sur un forum de piratage populaire.

Le message comprenait des échantillons des données volées pour 31 clients présumés d’Europcar, y compris les noms, adresses, dates de naissance, numéros de permis de conduire et autres informations.

Piratage d’un article de forum vendant des données présumées d’Europcar

However, after contacting Europcar last night, Breachtrace learned that the breach was fake and that the data had been fabricated using artificial intelligence.

« After having been warned by a threat intelligence service that an account claims to be selling Europcar data on the dark net and having carefully checked the data contained in the sample, we are convinced that this advertisement is false:

  • the number of records is completely wrong and incompatible with ours,
  • the sample data are probably generated by ChatGPT (the addresses do not exist, the postal codes do not match, the first and last names do not match the email addresses, the email addresses use very unusual TLDs),
  • and above all: none of these email addresses are present in our database. »

As Troy Hunt explains, while much of the data is clearly fake, he doesn’t believe it was created using artificial intelligence.

Hunt a souligné que les adresses e-mail ne correspondent pas aux noms d’utilisateur. Par exemple, tous les noms d’utilisateur contiennent un prénom ou un nom de famille, mais aucun ne correspond au nom complet répertorié dans les données.

Le deuxième indicateur que les données sont fausses est que les adresses n’existent tout simplement pas. Par exemple, deux des enregistrements clients répertoriés utilisent les villes inexistantes de « Lake Alyssa berg, DC » et  » West Paul burgh, PA. »

Recherche Google indiquant qu’une adresse est fausse

Un autre indicateur est que les adresses et les numéros de téléphone concernent des régions des États-Unis, mais que bon nombre des courriels associés concernent d’autres pays.

Alors qu’Europcar a déclaré à Breachtrace qu’ils pensaient que ces données avaient été créées à l’aide de l’IA, Hunt souligne que certaines des adresses e-mail sont réelles, apparaissant dans de précédentes violations de données surveillées par Have I Been Pwned.

Au lieu de cela, Hunt pense que la mention de l’intelligence artificielle n’est qu’une prise à chaud basée sur la popularité du sujet et n’a pas été impliquée dans la création de ces données.

« Nous avons fabriqué des failles depuis toujours parce que les gens veulent du temps d’antenne ou se faire un nom ou peut-être un peu d’argent rapidement », explique Hunt.

« Qui sait, cela n’a pas d’importance, car rien de tout cela ne fait de « l’IA » et rechercher des titres ou envoyer des arguments de spam sur cette base est tout simplement stupide. »

Comme l’a souligné le chercheur en sécurité NexusFuzzy, il existe des projets existants qui permettent à quiconque de créer des données qui ressemblent presque exactement à ce qui a été partagé dans les faux échantillons de violation de données.

Bien que les acteurs de la menace utilisent déjà l’intelligence artificielle dans le cadre de leurs escroqueries et attaques, et qu’ils étendront probablement son utilisation à l’avenir, cet incident ne semble pas en faire partie.

Laisser un commentaire

Votre adresse e-mail ne sera pas publiée. Les champs obligatoires sont indiqués avec *