T-Mobile a révélé la deuxième violation de données de 2023 après avoir découvert que les attaquants avaient accès aux informations personnelles de centaines de clients pendant plus d’un mois, à partir de fin février 2023.
Par rapport aux précédentes violations de données signalées par T-Mobile, dont la dernière a touché 37 millions de personnes, cet incident n’a touché que 836 clients. Pourtant, la quantité d’informations exposées est très importante et expose les personnes concernées au vol d’identité et aux attaques de phishing.
« En mars 2023, les mesures que nous avons mises en place pour nous alerter des activités non autorisées ont fonctionné comme prévu et nous avons pu déterminer qu’un acteur malveillant avait eu accès à des informations limitées à partir d’un petit nombre de comptes T-Mobile entre fin février et mars 2023. « , a déclaré la société dans des lettres de notification de violation de données envoyées aux personnes concernées juste avant le week-end, le vendredi 28 avril 2023.
T-Mobile a déclaré que les acteurs de la menace n’avaient pas eu accès aux enregistrements d’appels ni aux informations sur les comptes financiers personnels des personnes concernées, mais que les informations personnellement identifiables exposées contiennent plus qu’assez de données pour le vol d’identité.
Bien que les informations exposées variaient pour chacun des clients concernés, elles pouvaient inclure « le nom complet, les coordonnées, le numéro de compte et les numéros de téléphone associés, le code PIN du compte T-Mobile, le numéro de sécurité sociale, la carte d’identité gouvernementale, la date de naissance, le solde dû, les informations internes codes que T-Mobile utilise pour gérer les comptes clients (par exemple, plan tarifaire et codes de fonction) et le nombre de lignes. »
Après avoir détecté la faille de sécurité, T-Mobile a réinitialisé de manière proactive les codes PIN des comptes des clients concernés et leur offre désormais deux ans de services gratuits de surveillance du crédit et de détection du vol d’identité via Transunion myTrueIdentity.
Un porte-parole de T-Mobile n’était pas immédiatement disponible pour commenter lorsqu’il a été contacté par Breachtrace plus tôt dans la journée pour demander plus de détails.
Deuxième violation de données divulguée en 2023
Il s’agit du deuxième incident de ce type révélé par T-Mobile depuis le début de l’année, la précédente violation de données ayant été divulguée le 19 janvier, après que des attaquants ont volé les informations personnelles de 37 millions de clients en abusant d’une interface de programmation d’application (API) vulnérable en novembre. 2022.
L’opérateur de téléphonie mobile a repéré l’activité malveillante des acteurs de la menace le 5 janvier et a coupé leur accès à ses systèmes dans les 24 heures.
T-Mobile a décrit les données volées lors de la violation de janvier comme des « informations client de base », notamment « nom, adresse de facturation, e-mail, numéro de téléphone, date de naissance, numéro de compte T-Mobile et informations telles que le nombre de lignes sur le compte et les fonctionnalités du plan. »
Depuis 2018, l’opérateur de téléphonie mobile a divulgué sept autres violations de données, dont une qui a révélé les informations d’environ 3 % de tous les clients de T-Mobile.
Parmi les autres incidents signalés par T-Mobile au cours des dernières années, citons :
- En 2019, T-Mobile a exposé les informations de compte d’un nombre non divulgué de clients prépayés.
- En mars 2020, les employés de T-Mobile ont été touchés par une violation de données exposant leurs informations personnelles et financières.
- En décembre 2020, les acteurs de la menace ont accédé aux informations réseau propriétaires des clients (numéros de téléphone, enregistrements d’appels).
- En février 2021, une application interne de T-Mobile a été consultée par des attaquants inconnus sans autorisation.
- En août 2021, des pirates se sont frayé un chemin à travers le réseau de l’opérateur suite à une violation d’un environnement de test T-Mobile.
- En avril 2022, le gang d’extorsion de dollars Lapsus a piraté le réseau de T-Mobile en utilisant des informations d’identification volées.