Violation de données et extorsion de Ticketcounter

Début 2021, la plateforme néerlandaise de billetterie en ligne Ticketcounter — qui vend des billets d'entrée pour des zoos, musées, parcs d'attractions et autres sites partout aux Pays-Bas — a révélé une violation de données touchant 1,9 million de personnes, suivie d'une demande d'extorsion. La cause profonde n'était pas une intrusion sophistiquée mais un serveur cloud mal configuré ayant laissé une sauvegarde complète de base de données exposée sur Internet.

Ce qui s'est passé

En août 2020, Ticketcounter a copié une base de données de production sur un serveur Microsoft Azure afin de tester un processus d'anonymisation remplaçant les données personnelles réelles par des valeurs fictives. Comme l'a expliqué plus tard le PDG Sjoerd Bakker, après la copie de la base de données, celle-ci n'a pas été correctement sécurisée, rendant la sauvegarde accessible à quiconque la trouvait.

En février 2021, un attaquant a localisé la sauvegarde exposée et a téléchargé l'intégralité du jeu de données. Le 22 février 2021, l'attaquant a contacté directement Ticketcounter et a exigé 7 bitcoins — soit environ 337 000 $ à l'époque — pour ne pas divulguer publiquement les données. Ticketcounter n'a pas payé, et les données ont ensuite été mises en vente sur un forum de piratage.

Impact

• La violation a exposé 1,9 million d'adresses e-mail uniques. Pour les personnes concernées, les fiches comprenaient également des noms, adresses postales, adresses IP, genres, dates de naissance, historiques de paiement et, dans certains cas, des numéros de compte bancaire.
• La combinaison de données d'identité et financières créait un risque accru de hameçonnage, de fraude et de prise de contrôle de comptes pour les clients touchés.
• Le jeu de données a été intégré à Have I Been Pwned, permettant aux utilisateurs concernés de vérifier leur exposition.
• Bien que Ticketcounter ait refusé la rançon, la circulation publique des données signifiait que le préjudice pour les clients était de fait déjà causé.

Pourquoi c'est important

La violation de Ticketcounter illustre clairement comment une mauvaise configuration du cloud — et non un savoir-faire avancé d'attaquant — est à l'origine d'une grande part des fuites de données modernes. Une tâche d'ingénierie de routine (tester un pipeline d'anonymisation) sur une instance Azure non sécurisée a suffi à compromettre près de deux millions de personnes. Elle a renforcé plusieurs leçons durables : les données de production ne devraient jamais être copiées dans des environnements de test sans contrôles d'accès stricts ; le stockage cloud doit être privé par défaut et audité en continu ; et payer une demande d'extorsion n'offre aucune garantie une fois les données déjà exfiltrées. Pour une plateforme de taille moyenne traitant des données sensibles proches du paiement, l'incident a également mis en évidence l'exposition réglementaire et réputationnelle disproportionnée que le RGPD fait peser même sur les fuites involontaires.