Compromission des identifiants eBay

Le 21 mai 2014, la place de marché en ligne eBay a révélé que des attaquants avaient pénétré son réseau d'entreprise à l'aide d'un petit nombre d'identifiants d'employés compromis et accédé à une base de données contenant les données personnelles de l'ensemble de ses utilisateurs, soit environ 145 millions de personnes. À l'époque, il s'agissait de l'une des plus importantes fuites de données jamais enregistrées.

Ce qui s'est passé

Les intrus n'ont pas franchi le périmètre d'eBay au moyen d'une faille. Ils ont obtenu les identifiants de connexion d'un petit nombre d'employés d'eBay — la plupart des informations attribuent cela à de l'ingénierie sociale — et utilisé cet accès légitime pour se déplacer latéralement à travers le réseau d'entreprise. Une fois à l'intérieur, ils ont atteint une base de données contenant les informations personnelles de chaque compte eBay.

La compromission aurait eu lieu entre fin février et début mars 2014. L'équipe de sécurité d'eBay n'a détecté l'intrusion que début mai 2014, environ deux semaines avant sa divulgation publique, laissant aux attaquants un temps de présence prolongé au sein du réseau.

Ce qui a été exposé

La base de données compromise contenait :

• Les noms des clients et les noms d'utilisateur des comptes
• Les mots de passe chiffrés (hachés)
• Les adresses e-mail
• Les adresses postales physiques
• Les numéros de téléphone
• Les dates de naissance

Élément crucial, eBay a indiqué que les données financières n'avaient pas été exposées : les numéros de carte de crédit et autres informations de paiement étaient stockés séparément, et PayPal — alors filiale d'eBay — conservait ses données financières sur un réseau distinct et chiffré qui n'a montré aucun signe d'accès non autorisé.

Impact

eBay a exigé que l'ensemble de ses 145 millions d'utilisateurs actifs réinitialisent leur mot de passe. Bien que les mots de passe aient été chiffrés, les chercheurs en sécurité ont averti que la combinaison des noms, adresses e-mail, adresses postales, numéros de téléphone et dates de naissance constituait un terreau fertile pour des campagnes de hameçonnage, de détournement de comptes et d'usurpation d'identité. eBay a été critiqué pour le délai entre la détection et la divulgation, ainsi que pour un déploiement initial de la réinitialisation des mots de passe jugé confus par certains utilisateurs.

Pourquoi c'est important

La compromission d'eBay est un cas d'école d'intrusion fondée sur l'identité : les attaquants n'avaient besoin ni de logiciel malveillant ni de faille zero-day, seulement de quelques identifiants d'employés valides et de la capacité à se déplacer latéralement vers des données sensibles. Elle a renforcé l'orientation du secteur vers l'authentification multifactorielle pour les comptes employés, la segmentation des réseaux et le principe du moindre privilège afin de limiter l'étendue des dégâts lorsqu'un seul compte est compromis. Elle est également devenue un avertissement précoce sur le délai de divulgation des compromissions, alors que l'attention se portait sur le temps que mettent les entreprises à détecter et signaler des intrusions touchant des centaines de millions de consommateurs.