Une base de données non sécurisée contenant 822 000 enregistrements, dont 600 000 rapports de crédit liés à l’industrie des transports américaine et canadienne, a été découverte en ligne.
Le chercheur en sécurité Jeremiah Fowler et l’équipe de recherche de Website Planet ont trouvé la base de données qui contenait des informations détaillées sur le camionnage, les entreprises de transport et même les conducteurs individuels.
Les données elles-mêmes semblent être liées aux comptes de crédit, aux prêts, aux remboursements et aux recouvrements de créances et comprennent des informations bancaires et des numéros d’identification fiscale. Cependant, de nombreux identifiants fiscaux étaient cohérents avec ce qui semble être des numéros de sécurité sociale (SSN) et étaient stockés en texte brut.
À risque
Après une enquête plus approfondie, Fowler et l’équipe de recherche de Website Planet ont trouvé plusieurs références ainsi que des e-mails internes et des noms d’utilisateur à la société TransCredit basée en Floride. Tout comme Experian, TransUnion et Equifax fournissent des cotes de crédit aux consommateurs, TransCredit a créé une « cote de crédit » pour l’industrie du transport qui évalue les expéditeurs et les courtiers et attribue une cote d’évaluation des risques de 0 à 99.
Selon un nouveau rapport, les enregistrements stockés dans la base de données non sécurisée pourraient donner à un attaquant un aperçu de l’ensemble des activités d’un transporteur ou d’un opérateur indépendant, car ils contiennent des informations sur les retards de paiement, le non-paiement, la faillite, les recouvrements, etc.
Potentiel de fraude et d’escroquerie
Bien que Fowler et l’équipe de recherche de Website Planet aient envoyé un avis de divulgation responsable à TransCredit immédiatement après leur découverte et que l’accès public à la base de données ait été restreint peu de temps après, les cybercriminels et autres pirates auraient pu télécharger son contenu alors qu’il n’était pas protégé par mot de passe.
Alors que la pandémie a déjà entraîné une pénurie de chauffeurs et de main-d’œuvre, les entreprises de transport pourraient également être désormais exposées à des risques de fraude et d’autres escroqueries. En effet, la base de données contenait suffisamment d’informations pour qu’un attaquant puisse concevoir des campagnes de phishing crédibles ainsi que des escroqueries fiscales et de réparation de factures. L’inclusion des données d’identification fiscale pourrait également être utilisée par un cybercriminel pour renforcer la confiance avec les victimes potentielles en utilisant l’ingénierie sociale.
Bien qu’il y ait eu de nombreuses références à TransCredit dans la base de données désormais sécurisée, Fowler et l’équipe de recherche de Website Planet n’ont reçu de réponse de personne dans l’entreprise vérifiant que les données lui appartenaient bien. Cela signifie que les données pourraient avoir été exposées par un sous-traitant ou par un autre tiers ayant eu accès aux rapports en question.
La seule chose que les entreprises et les entrepreneurs indépendants dont les informations ont été divulguées puissent faire pour se protéger contre la fraude et les escroqueries est de valider chaque demande de paiement ou d’information. Heureusement, comme la base de données a été sécurisée rapidement, il est possible que son contenu n’ait été téléchargé par personne d’autre à des fins malveillantes.
Fowler a fourni de plus amples informations sur la façon dont les données contenues dans cette base de données exposée pourraient être utilisées comme liste de travail pour les mauvais acteurs dans un e-mail à TechRadar Pro, en disant:
« Avec tous les problèmes de chaîne d’approvisionnement auxquels nous sommes confrontés actuellement, c’est un très mauvais moment pour exposer des dossiers détaillés sur les entreprises de transport et les conducteurs individuels. La pandémie de COVID 19 a extrêmement durement touché le secteur des transports et met en évidence la façon dont l’industrie doit se transformer et se moderniser. Cette fuite de données contenait de multiples risques sur la façon dont les criminels pourraient utiliser les informations privilégiées pour identifier des cibles et établir une position de confiance avec leurs victimes. Les informations sur le crédit et la dette seront toujours une cible précieuse pour les crimes traditionnels et le vol d’identité, mais il existe également une gamme d’escroqueries ou de fraudes spécifiques à l’industrie du transport. Malheureusement, cette base de données contenait suffisamment d’informations que les mauvais acteurs pourraient potentiellement utiliser comme liste de travail.