Filtration millionnaire de Match Group : comment un SSO engagé et l'ingénierie sociale ont exposé 10 millions de disques

Match Group, l'entreprise derrière les applications de datation aussi populaires que Tinder, Match.com, OkCupid, Hinge et Meetic, a confirmé qu'il a subi un incident de sécurité qui a entraîné la suppression des données utilisateur. Selon des informations publiées par des chercheurs et des médias spécialisés, un groupe connu pour filtrer des informations, appelé ShinyHunters, a publié un fichier compressé de 1,7 Go qui, selon les attaquants, contient jusqu'à 10 millions d'enregistrements d'utilisateurs de plusieurs des plateformes du groupe, en plus des documents internes.

La société elle-même a expliqué aux médias qu'elle avait détecté un accès non autorisé et qu'elle avait pris des mesures pour le fermer, et que l'enquête se poursuivait avec le soutien d'experts externes. Match Group affirme qu'il n'existe aucune preuve que les identifiants, les données financières ou les communications privées ont été exfiltrés et indique que les personnes concernées sont notifiées selon qu'il convient. Vous pouvez lire la couverture technique et les énoncés en détail dans BleepingComputer: Calculateur.

Ce qui différencie cet incident d'une filtration classique, c'est la voie d'accès : les enquêteurs soulignent que les attaquants ont obtenu le contrôle après avoir compromis un seul compte d'accès géré avec Okta. Cet accès a permis d'extraire des informations hébergées dans des outils d'analyse marketing et des dépôts de cloud - spécifiquement mentionné l'exemple d'AppsFlyer, Google Drive et Dropbox - où les données de suivi et les documents d'entreprise sont souvent stockés. L'attaque s'inscrivait dans le cadre d'une campagne plus vaste de lutte et de supplantation qui, selon une analyse indépendante, a tenté de tromper des employés de plus de 100 organisations utilisant de faux portails et des appels ciblés. Push silencieux.

Los atacantes habrían useado enquiertado social sophisticada - incluyendo vishing, lamas que pretenecan ser internes - y dominios que imiaban portails corporativas para convainc a trabajadores de que inician session en interfaces malicias (se ha mencionado el dominio useado "matchinternal.com"). Cette méthode n'exploite pas une défaillance technique des services d'identité, mais la confiance humaine et la facilité d'utilisation de certains mécanismes d'authentification, ce qui le rend particulièrement dangereux lorsque l'objectif est un SSO: une fois un titre avec des privilèges compromis, l'accès peut être étendu à plusieurs services sans la nécessité de briser d'autres défenses.

D'un point de vue défensif, les experts en réponse aux incidents et aux signatures de sécurité ont depuis longtemps averti que l'authentification basée sur les notifications push ou SMS est vulnérable aux manipulations d'ingénierie sociale. Dans les mots cités par les médias, des spécialistes tels que Charles Carmakal de Mandiant recommandent de se diriger vers des méthodes d'authentification résistantes au phishing, telles que les clés physiques FIDO2 ou l'utilisation de mots de passe, qui sont beaucoup plus difficiles à tromper avec des appels frauduleux ou de faux portails. Vous pouvez lire des recommandations pratiques sur l'évolution du MFA résistant au phishing dans le blog Okta, qui a également analysé comment les kits de phishing s'adaptent au script des attaquants: Okta Threat Intelligence.

Pour les entreprises comme pour les utilisateurs finaux, il existe des leçons concrètes. Au niveau de l'entreprise, en plus de déployer des mécanismes de MFA résistants aux tromperies, il convient d'appliquer des politiques strictes d'autorisation d'application, de surveiller de manière proactive le log et l'activité anormale dans les API, et de restreindre l'accès des mandataires ou des services d'anonimisation que les attaquants utilisent habituellement. Au niveau individuel, si vous recevez un appel inattendu qui vous demande d'accéder à un portail interne ou de confirmer un code, il est recommandé de suspendre et de vérifier la communication par les canaux officiels; certaines banques et plateformes testent des solutions pour valider les appels dans l'application elle-même, une mesure émergente qui teste déjà des entités telles que Monzo ou certains échanges: Monzo et Crypto.com.

La taille et l'exposition de Match Group aggravent l'inquiétude du public : avec des centaines de millions de téléchargements historiques et une base active estimée à des dizaines de millions d'utilisateurs, tout incident affectant ses plateformes a un potentiel très large et peut exposer des données personnelles et des métadonnées comportementales sensibles à leur nature intime. Bien que la société affirme que la plupart des fuites seraient des informations de suivi plutôt que des PII de masse, il est toujours un rappel que les données associées à la vie affective et sociale des gens nécessitent un traitement particulièrement prudent.

Cette lacune ramène une réalité technologique et humaine : les protections techniques s'améliorent année après année, mais les agresseurs investissent dans des tactiques de persuasion. La combinaison de meilleurs outils d'authentification, de politiques de contrôle d'accès plus strictes et de formation continue en ingénierie sociale pour le personnel C'est la meilleure défense pratique contre de telles intrusions. Pendant ce temps, les utilisateurs et les responsables de la sécurité devraient rester vigilants, examiner les notifications officielles et suivre les communications que Match Group et les fournisseurs d'identité publient au fur et à mesure de l'enquête.

Afin d'élargir les détails techniques et le suivi, la couverture spécialisée continue d'être mise à jour dans les médias tels que BleepingComputer ( Voir article) et dans les blogs d'entreprises de sécurité et de fournisseurs d'identité qui analysent les tactiques et les recommandations d'atténuation ( Okta, Push silencieux).