Une importante société de vérification d’identité qui a des contrats avec TikTok, Uber, X et d’autres grandes plateformes a laissé derrière elle un ensemble d’identifiants de connexion administratifs. exposé à Internet depuis plus d’un an, selon un rapport de 404 en moyenne. Les informations d’identification auraient pu permettre à un acteur malveillant d’accéder à des informations sensibles sur les utilisateurs, notamment des images de permis de conduire américains, écrit le média.
Pourquoi vos vêtements rétrécissent lorsque vous les lavez (et comment l’éviter)
La société en question, AU10TIX, fournit des services de connexion et de vérification d’identité. Nous en avons parlé l’année dernière, comme était associé à X (anciennement Twitter). À l’époque, Elon Musk déployait un certain nombre de nouvelles fonctionnalités controversées, notamment la vérification facultative des utilisateurs pour les comptes d’abonnés Blue.
Pour vérifier les utilisateurs sur des sites comme X, AU10TIX demande une série de points de données d’identification, notamment des selfies et des images de pièces d’identité émises par le gouvernement. Ces points de données aident une entreprise à confirmer qu’un utilisateur est une personne réelle et non un robot, mais ils peuvent devenir un élément de confidentialité. responsabilité dans une situation comme celle-ci.
404 Media écrit que la débâcle a commencé parce que les identifiants de connexion d’un employé d’AU10TIX ont été récupérés par un logiciel malveillant en 2022, puis publiés sur la chaîne Telegram. Le média a été initialement alerté de la situation par un chercheur en cybersécurité. Le nom associé aux informations d’identification volées correspondait au nom d’une personne sur LinkedIn répertoriée comme responsable du centre d’opérations réseau chez AU10TIX, écrit 404. Les informations d’identification permettaient d’accéder à une plate-forme de registre, où les données relatives aux utilisateurs de certaines plates-formes clientes semblaient visibles. . Le chercheur en cybersécurité a fourni des captures d’écran des données accessibles à l’aide des informations d’identification 404 et les décompose comme ceci :
Les informations accessibles comprennent le nom de la personne, sa date de naissance, sa nationalité, son numéro d’identification et le type de document téléchargé, tel que son permis de conduire. Licence. Un lien ultérieur inclut une image de l’identifiant lui-même ; certains d’entre eux sont des permis de conduire américains.
Gizmodo a contacté AU10TIX pour commentaires et mettra à jour cette histoire s’il répond. Contactée par 404 Media pour commentaires, la société a déclaré au média que « l’incident que vous avez cité s’est produit il y a plus de 18 mois. “Une enquête approfondie a déterminé que les informations d’identification des employés avaient été obtenues illégalement, puis immédiatement résiliées.” Cependant, 404 Media affirme que, selon le chercheur en sécurité, les informations d’identification fonctionnaient toujours ce mois-ci. Face à ces informations, AU10TIX a déclaré qu’elle était en train de « démanteler le système pertinent » lié aux informations d’identification.
Au sujet de l’accès possible aux données des utilisateurs, la société a déclaré : « Bien que les données PII soient potentiellement accessibles, sur la base de nos conclusions actuelles, nous ne voyons aucune preuve que ces données ont été exploitées. “La sécurité de nos clients est de la plus haute importance et ils ont été informés.”
Selon Site AU10TIXs’est associé à de nombreuses autres plateformes et marques importantes et de premier plan, notamment PayPal, LinkedIn, Coinbase, eToro et UpWork, entre autres.
Ce contenu a été automatiquement traduit du matériel original. En raison des nuances de la traduction automatique, il peut y avoir de légères différences. Pour la version originale, cliquez ici.
