Un pirate informatique nommé TheNeoBoss a réussi à s’introduire sur les serveurs d’un vaste réseau de sites classés « X ». Le groupe Paper Street Media exploitant ces sites adultes refusant de payer, le cybercriminel a mis en vente les 273 000 comptes clients qui’il a dérobé.
Pour ceux qui ne connaisse pas, le business du Porn Account est une des nombreuses catégories du blackmarket, assez rentable par ailleurs puisqu’un pirate peut espérer gagner entre 500 et 1000 dollars par semaine en vendant des comptes valides volés aux amateurs du genre.
La presse a largement relayé ce fait, pourtant assez banal sommes toutes, puisque cela arrive relativement souvent : le pirate a attaqué les sites du groupe américain Paper Street Media via une injection SQL et a pu déposer un PHP Shell sur les serveurs Web afin de garder un accès aux bases clients afin de se servir en données fraîches et valides, ensuite revendues sur le blackmarket « Dream Market » à environ $10 le compte valide.
Cette fois, le pirate a frappé fort puisque les sites interdits aux moins de 18 ans du groupe attaqué sont très nombreux (TeamSkeet, ThisGirlSucks, TeenyBlack ou encore Naughty America) pour atteindre un lot de 273 000 comptes piratés à vendre !
Parmi les données mis en vente, on retrouve les noms, prénoms, pseudos, mots de passe, adresse mail, adresses IP et même dans certains cas les adresses postales des utilisateurs. Autant dire, pas glop pour la vie privée des victimes… et cette récente cyberattaque d’envergure ayant menée à cette gigantesque fuite de données privées démontre une fois de plus l’impuissance des grands éditeurs de sites Web face aux cybercriminels.
En effet, la négligence de certains éditeurs concernant la sécurité de leurs sites Internet mène régulièrement à ce genre de fuite. Le pire dans le cas présent est que le pirate a tenté d’avertir le groupe des failles de sécurité critiques découvertes mais a aussi souhaité monnayer la correction de ces dernières, ce que l’éditeur a refusé en l’accusant d’extorsion de fonds. Le pirate a donc choisi la voie du blackmarket pour monétiser les données volées, en proposant l’intégralité de la base de données sur Dream Market pour 0,955 bitcoin, soit environ 366 euros.
Plus grave, il semblerait que l’éditeur Paper Street Media n’a rien fait de son côté pour corriger la vulnérabilité béante, malgré le fait que son existence et son danger n’est plus à prouver… Seul point positif, aucune information bancaire et CB n’ont pu être extraites de la base de données. La société tente de se défendre en prétendant que ce sont de vieux comptes invalides, alors que le pirate prouve de son côté qu’il a toujours accès à l’administration des sites… bref, l’affaire n’est pas terminée.
