Violation de données de l'application de VTC Careem

Le 23 avril 2018, Careem — l'entreprise de VTC dont le siège est à Dubaï et qui était le principal rival d'Uber au Moyen-Orient, en Afrique du Nord, au Pakistan et en Turquie — a révélé que des attaquants avaient volé les données personnelles d'environ 14 millions de passagers et de 558 000 chauffeurs inscrits. Il s'agissait de l'une des plus importantes violations de données de consommateurs de l'histoire de la région.

Ce qui s'est passé

Careem a détecté l'intrusion le 14 janvier 2018, lorsqu'elle a constaté que des « criminels en ligne » avaient accédé à un système stockant les informations de comptes des clients et des « capitaines » (chauffeurs). Les propres relevés forensiques de l'entreprise ont ensuite indiqué que les systèmes avaient été compromis pour la première fois en décembre 2017. Toute personne inscrite après le 14 janvier 2018 n'était pas concernée, ce qui a permis à Careem de circonscrire la population exposée aux comptes créés avant cette date.

L'entreprise a attendu environ trois mois avant de rendre l'affaire publique, un délai qu'elle a justifié en affirmant que les enquêtes sur la cybercriminalité sont « extrêmement complexes et prennent du temps » et qu'elle voulait disposer d'informations exactes avant de notifier les utilisateurs. Ce délai a suscité de vives critiques, d'autant plus que la propre violation dissimulée d'Uber avait été révélée quelques mois auparavant.

Impact

• Environ 14 millions de passagers et 558 000 chauffeurs ont vu leurs noms, adresses électroniques, numéros de téléphone et historiques de trajets exposés.
• Careem a déclaré que les mots de passe et les données de cartes de paiement n'avaient pas été consultés, car ceux-ci étaient hébergés sur un serveur tiers distinct conforme à la norme PCI.
• Les données d'historique de trajets exposées étaient particulièrement sensibles dans la région, car elles pouvaient révéler les déplacements des individus, leurs domiciles et lieux de travail, ainsi que leurs habitudes de vie.
• Careem a exhorté tous les utilisateurs à rester vigilants face au hameçonnage, à surveiller leurs comptes, et a réinitialisé les identifiants internes.

Attribution

Careem a attribué la violation uniquement à des « criminels en ligne » non identifiés et n'a nommé aucun groupe ni État-nation. Aucun acteur malveillant n'a publiquement revendiqué la responsabilité, et aucune arrestation n'a été signalée. La motivation semblait être le vol de données personnelles en masse, bien qu'aucune demande de rançon n'ait été divulguée.

Pourquoi c'est important

La violation de Careem a constitué un moment charnière pour la sensibilisation à la protection des données dans le Golfe et en Asie du Sud, des régions où la réglementation sur la vie privée des consommateurs en était encore à ses balbutiements. Elle a mis en lumière la valeur des données de trajets et de localisation détenues par les super-applications et le coût réputationnel d'une divulgation tardive. Survenant peu avant l'acquisition de Careem par Uber pour 3,1 milliards de dollars en 2019, elle a également souligné à quel point la diligence raisonnable en matière de cybersécurité était devenue centrale dans les grandes transactions technologiques régionales.