Violation de données SIM de Ho. Mobile

Dans les premiers jours de janvier 2021, Ho. Mobile — la marque mobile à bas coût exploitée par Vodafone Italie — a confirmé que les données personnelles d'environ 2,5 millions d'abonnés avaient été volées et mises en vente sur un forum du dark web. La violation était particulièrement grave car les données dérobées comprenaient les informations techniques nécessaires pour cloner les cartes SIM, exposant les clients à la fraude au SIM swapping.

Ce qui s'est passé

Le 28 décembre 2020, un analyste en sécurité a remarqué que la base de données clients complète de Ho. Mobile était proposée à la vente sur un forum de piratage du dark web, pour un montant d'environ 50 000 $. Initialement, le 4 janvier 2021, Ho. Mobile a déclaré n'avoir trouvé aucune preuve d'accès non autorisé à ses systèmes. Plus tard le même jour, cependant, l'entreprise a fait volte-face et a confirmé la violation, reconnaissant que des données personnelles de clients et des informations liées aux SIM avaient bel et bien été exfiltrées.

Les fiches compromises comprenaient les noms et prénoms, numéros de téléphone, adresses e-mail, dates et lieux de naissance, nationalité et adresses postales des clients — et, point crucial, les identifiants de carte SIM (ICCID).

Impact

• Environ 2,5 millions d'abonnés de Ho. Mobile ont vu leurs données personnelles exposées.
• Comme les données volées comprenaient l'ICCID et les détails d'identité nécessaires pour autoriser un transfert de SIM, les attaquants pouvaient tenter le SIM swapping — détourner le numéro de téléphone d'une victime pour intercepter les codes à usage unique envoyés par SMS et prendre le contrôle de comptes bancaires, de messageries et d'autres services.
• Dans une réponse particulièrement proactive, Ho. Mobile a proposé de remplacer gratuitement les cartes SIM de l'ensemble des 2,5 millions de clients concernés, neutralisant le risque de SIM swapping pour quiconque acceptait l'offre.
• L'entreprise a signalé l'incident à l'autorité italienne de protection des données (Garante per la protezione dei dati personali) et aux forces de l'ordre.

Pourquoi c'est important

La violation de Ho. Mobile est une exposition de données télécoms marquante car elle est allée au-delà des simples données personnelles pour menacer la colonne vertébrale de l'authentification sur laquelle reposent des millions de personnes. Les codes à usage unique par SMS restent un second facteur courant, et une base de données contenant des ICCID ainsi que des données d'identité constitue une boîte à outils toute prête pour la fraude au SIM swapping. La décision de Ho. Mobile de réémettre chaque SIM concernée a établi un précédent notable en matière de remédiation dans le secteur des télécoms — une reconnaissance coûteuse mais efficace du fait que, une fois les données SIM entre des mains criminelles, seul le remplacement physique de la SIM ferme entièrement le risque. L'affaire a également renforcé le mouvement plus large du secteur s'éloignant de l'authentification par SMS au profit de seconds facteurs applicatifs et matériels.