Roku a déclaré que l’accès à 15 363 comptes d’utilisateurs de streaming avait été obtenu par des « personnes non autorisées » qui, dans certains cas, cherchaient à acheter des abonnements de streaming via le piratage.
La société a divulgué la violation le vendredi 8 mars dans un dossier déposé auprès du bureau du procureur général du Maine. Selon un rapport de Bleeping Computer, les auteurs du vol de données cherchaient à vendre les identifiants de compte volés « pour seulement 0,50 $ par compte, permettant aux acheteurs d’utiliser les cartes de crédit stockées pour effectuer des achats illégaux ».
Roku a déclaré avoir protégé les comptes concernés contre tout accès non autorisé en exigeant que chaque titulaire de compte enregistré réinitialise le mot de passe, selon une lettre envoyée aux utilisateurs concernés, publiée sur le site Web de Maine AG. La société a également déclaré avoir enquêté sur l’activité des comptes « pour déterminer si les acteurs non autorisés avaient engagé des frais, et nous avons pris des mesures pour annuler les abonnements non autorisés et rembourser tous frais non autorisés ».
Les plus de 15 000 comptes qui ont été piratés ne représentent qu’une petite fraction de la base globale de Roku : la société a déclaré avoir terminé 2023 avec 80 millions de comptes d’utilisateurs actifs.
« Nous prenons au sérieux la confidentialité et la sécurité de nos téléspectateurs et, dans le cadre de notre engagement envers ces valeurs et la protection de vos informations, nous vous écrivons pour vous informer d’un événement récent qui pourrait avoir affecté votre compte Roku », a déclaré la société dans une lettre. aux utilisateurs concernés.
Selon l’avis du client, l’équipe de sécurité de Roku « a récemment observé une activité suspecte indiquant que certains comptes Roku individuels peuvent avoir été accédés par des acteurs non autorisés ». La société a déclaré que son enquête avait déterminé que des acteurs non autorisés avaient probablement obtenu certains noms d’utilisateur et mots de passe de consommateurs auprès de sources tierces (c’est-à-dire via des violations de données de services tiers qui ne sont pas liés à Roku).
« Il semble probable que les mêmes combinaisons nom d’utilisateur/mot de passe aient été utilisées comme informations de connexion pour ces services tiers ainsi que pour certains comptes Roku individuels. En conséquence, des acteurs non autorisés ont pu obtenir des informations de connexion auprès de sources tierces, puis les utiliser pour accéder à certains comptes Roku individuels », indique la lettre de Roku. « Après avoir obtenu l’accès, ils ont ensuite modifié les informations de connexion Roku pour les comptes Roku individuels concernés et, dans un nombre limité de cas, ont tenté d’acheter des abonnements de streaming. »
Selon la lettre, les comptes Roku concernés n’ont pas permis aux acteurs non autorisés d’accéder aux numéros de sécurité sociale, aux numéros de compte de paiement complets, aux dates de naissance ou à d’autres « informations personnelles sensibles similaires nécessitant une notification ».
Roku a déclaré que les clients qui craignent que leur compte ait été affecté sont encouragés à réinitialiser leur mot de passe sur my.roku.com. Des informations supplémentaires peuvent être trouvées sur la page d’assistance de Roku, dans un article sur « Comment créer un mot de passe fort et sécurisé pour votre compte Roku ».