Le 4 décembre, des pirates ont réussi à hameçonner un employé du géant des jeux Activision, leur donnant accès à certaines données internes sur les employés et les jeux.
Cette violation de données n’a été divulguée que le week-end dernier, lorsque le groupe de recherche sur la cybersécurité et les logiciels malveillants vx-underground publié sur Twitter des captures d’écran des données volées, ainsi que les messages des pirates sur le canal Slack interne d’Activision.
Mais le public n’était pas le seul pris au dépourvu par la nouvelle de la violation. Activision n’a pas encore informé ses propres employés de la violation de données et si leurs données ont été volées, selon deux employés actuels d’Activision qui ont parlé sous couvert d’anonymat car ils n’étaient pas autorisés à parler à la presse.
« C’est un problème. Si des informations sur les employés sont impliquées, ils auraient dû divulguer la violation », a déclaré l’un des employés à TechCrunch.
Le porte-parole d’Activision, Joseph Christinat, n’a pas répondu à une demande de commentaire.
En réponse aux nouvelles de la violation, Christinat avait précédemment partagé une déclaration selon laquelle Activision avait « rapidement » répondu à une tentative de phishing par SMS et « l’avait rapidement résolue ». Selon le communiqué, la société « a déterminé qu’aucune donnée sensible sur les employés, code de jeu ou données de joueur n’a été consultée ».
Le ou les pirates ont pu accéder à une série de feuilles de calcul contenant des données sur les employés telles que les noms complets, certains numéros de téléphone, les adresses e-mail d’entreprise et, dans certains cas, les bureaux où ils travaillent, selon une copie des données volées, qui vx-underground partagé avec TechCrunch.
Activision, qui édite des jeux domestiques tels que Appel du devoir et World of Warcraft est en cours d’acquisition par Microsoft dans le cadre d’un accord évalué à 68,7 milliards de dollars. Les régulateurs aux États-Unis, dans l’Union européenne et au Royaume-Uni se sont opposés à l’accord.
Activision, qui possède également Blizzard, a son siège social en Californie. L’État a une loi sur la notification des violations de données qui oblige les entreprises à informer les victimes de violations de données lorsque 500 résidents de l’État ou plus sont touchés, et stipule que «la divulgation doit être faite dans les délais les plus rapides possibles et sans délai déraisonnable, conformément à la légitime besoins des forces de l’ordre ».
La loi définit les « informations personnelles » comme incluant : les numéros de sécurité sociale, d’autres formes d’identification telles que le numéro de permis de conduire, la carte d’identité californienne, le « numéro d’identification fiscale, le numéro de passeport, le numéro d’identification militaire ou tout autre numéro d’identification unique émis sur un document gouvernemental couramment utilisé pour vérifier l’identité d’un individu spécifique ; » données médicales et d’assurance maladie, numéros de carte de crédit, données biométriques et génétiques.
Avez-vous plus d’informations sur cette violation de données ? Nous aimerions recevoir de vos nouvelles. Depuis un appareil non professionnel, vous pouvez contacter Lorenzo Franceschi-Bicchierai en toute sécurité sur Signal au +1 917 257 1382, ou via Wickr, Telegram et Wire @lorenzofb, ou envoyer un e-mail à [email protected]. Vous pouvez également contacter TechCrunch via SecureDrop.