Violation TransUnion Afrique du Sud (Afrique du Sud, 2022)

En mars 2022, TransUnion South Africa — l'un des principaux bureaux de crédit du pays — a été compromis par un groupe se faisant appeler N4ughtySecTU, qui a ensuite exigé une rançon de 15 millions de dollars. L'attaque est devenue tristement célèbre pour son point d'entrée d'une simplicité absurde : un compte client prétendument protégé par le mot de passe « Password ».

Ce qui s'est passé

Les attaquants ont obtenu l'accès à l'aide des identifiants volés d'un client TransUnion autorisé. Selon le groupe, le compte compromis était protégé par le mot de passe « Password » — un identifiant trivialement devinable sur un compte ayant accès aux données du bureau. Aucun exploit sophistiqué n'était nécessaire ; un simple abus d'identifiants a suffi.

N4ughtySecTU a affirmé avoir exfiltré 4 téraoctets de données concernant 54 millions de personnes et de nombreuses entreprises, et a exigé 15 millions de dollars pour s'abstenir de les publier. TransUnion a refusé de payer. L'entreprise a mobilisé des spécialistes en criminalistique externes et a souligné n'avoir trouvé aucune preuve que l'incident dépassait son activité sud-africaine.

Impact

• TransUnion a confirmé que des informations personnelles de consommateurs et d'entreprises avaient été compromises, notamment des données d'identité et de contact.
• Le chiffre affiché de « 54 millions d'enregistrements » a été contesté : TransUnion a déclaré qu'une grande partie des données revendiquées par les criminels lui était étrangère ou provenait de violations plus anciennes et distinctes, tout en confirmant qu'un ensemble plus restreint de ses propres enregistrements était réellement touché.
• La violation a renforcé l'inquiétude du public en Afrique du Sud, survenant à peine un an après la divulgation d'Experian et dans un contexte d'attention accrue à l'application du POPIA.

Pourquoi c'est important

Le cas TransUnion Afrique du Sud est une leçon saisissante sur l'hygiène des identifiants et l'accès des tiers. Un bureau de crédit national — dépositaire des données d'identité et de crédit de dizaines de millions de personnes — aurait été compromis via un seul compte doté d'un mot de passe de niveau par défaut et sans protection multifacteur efficace. Il a mis en évidence deux risques systémiques : la concentration de données sensibles de population entre quelques bureaux, et le danger d'accorder un accès client permanent sans imposer d'authentification forte. Avec Experian, il a confirmé les bureaux de crédit sud-africains comme cibles récurrentes de grande valeur et accéléré la pression réglementaire en faveur de contrôles d'accès renforcés.