Violation de données de Latitude Financial Services

Le 16 mars 2023, Latitude Financial Services — un prêteur de crédit à la consommation australien et néo-zélandais — a révélé publiquement un incident cyber en cours affectant environ 330 000 enregistrements. En l'espace de deux semaines, la portée s'est étendue à 14 millions d'enregistrements, dont 7,9 millions de numéros de permis de conduire australiens et néo-zélandais, ce qui en fait la plus grande violation de données de l'histoire des services financiers australiens.

Ce qui s'est passé

L'intrusion a commencé par des identifiants d'employé volés achetés sur des marchés criminels — la même origine liée à l'économie des identifiants qui a alimenté la violation Medibank de 2022. Les identifiants avaient été collectés par un infostealer (probablement RedLine ou Raccoon) et avaient fait surface sur un forum criminel russophone début février 2023.

Les identifiants en question appartenaient à un employé de Latitude ayant accès à deux prestataires de services tiers qui hébergeaient d'importants volumes de données clients de Latitude — les prestataires n'ont pas été nommés publiquement, mais ont été évalués comme étant un fournisseur de gestion de données clients et un prestataire de vérification d'identité. Le compte de l'employé disposait d'un accès par authentification unique (SSO) aux deux prestataires, et les identifiants n'avaient pas l'authentification multifacteur activée pour ces portails spécifiques.

Les attaquants ont :

• S'authentifié auprès des prestataires de services à l'aide des identifiants volés.
• Pivoté au sein des environnements des prestataires pour accéder à des bases de données d'enregistrements clients en masse.
• Exfiltré environ 14 millions d'enregistrements sur six semaines, en janvier et février 2023.

La détection est finalement intervenue le 15 mars 2023, lorsque Latitude a remarqué un trafic sortant inhabituel depuis son environnement.

Données exposées

• 7,9 millions de numéros de permis de conduire australiens et néo-zélandais (délivrés de 2005 à 2023).
• 6,1 millions d'enregistrements de noms, adresses, dates de naissance, numéros de téléphone — certains remontant à 2005.
• 53 000 numéros de passeport.
• Plus de 100 relevés financiers mensuels contenant un historique de paiement détaillé.

L'ancienneté des données — certains enregistrements vieux de dix-huit ans — était un détail particulièrement douloureux. Latitude avait conservé des enregistrements clients issus de demandes de crédit et de produits de prêt remontant à 2005, alors que beaucoup des clients affectés n'étaient plus des clients actifs de Latitude et n'avaient aucune attente quant à une conservation continue de leurs données.

Rançon refusée

Le 11 avril 2023, les attaquants ont contacté Latitude avec une demande de rançon — d'environ 1 million de dollars AUD selon les informations rapportées, pour la non-publication des données volées. Le PDG de Latitude Bob Belan a annoncé publiquement le même jour que Latitude ne paierait pas, invoquant les mêmes recommandations du gouvernement australien qui avaient soutenu le refus antérieur de Medibank :

• Le paiement n'offre aucune garantie de suppression ou de non-publication.
• Le paiement finance de nouvelles activités criminelles.
• Le paiement peut enfreindre les sanctions de l'OFAC ou australiennes si les attaquants sont liés à des entités désignées.

À l'heure où ces lignes sont écrites, les données volées n'ont pas été publiées sur un site de fuite public, bien que des échantillons d'enregistrements aient circulé sur des forums criminels au cours de 2023.

Impact

• 14 millions d'enregistrements exposés, dont 7,9 millions de permis de conduire nécessitant une réémission pour de nombreux résidents affectés.
• Coût direct : Latitude a annoncé un coût compris entre 76 M$ et 95 M$ AUD avant assurance.
• Des recours collectifs déposés devant la Cour fédérale australienne demeurent en cours en 2024.
• Engagement exécutoire de l'OAIC en septembre 2024 — Latitude s'est engagée à un renforcement substantiel de sa cybersécurité en lieu et place d'une procédure de sanction civile.

Pourquoi c'est important

Latitude Financial est le deuxième cas australien emblématique (aux côtés de Medibank) pour le vecteur identifiants volés + absence de MFA sur un tiers. Il a établi :

• Que l'accès via un prestataire de services tiers est un vecteur d'attaque majeur pour les services financiers. La violation ne visait pas l'infrastructure de Latitude elle-même ; elle visait des fournisseurs qui hébergeaient les données de Latitude.
• Que la conservation des données à longue traîne est une responsabilité cachée majeure. Des enregistrements de 2005 ont été exposés lors d'une violation de 2023 parce que Latitude n'avait aucune politique de purge agressive pour les données des clients inactifs.
• Que les numéros de permis de conduire fonctionnent de manière similaire aux numéros de passeport comme identifiants effectivement permanents. La réémission est administrativement coûteuse et crée une exposition à la fraude en aval pour l'ensemble des services publics et financiers utilisant le permis comme identité.
• Que deux refus de payer majeurs en Australie au cours d'années successives (Medibank 2022, Latitude 2023) ont établi une posture nationale distincte de la culture de réponse aux rançongiciels des États-Unis ou du Royaume-Uni — le refus public par défaut, avec une coordination gouvernementale en arrière-plan.