Après la faillite, Celsius subit maintenant une fuite de données

Ça ne va pas fort pour la plateforme Celsius, spécialisée dans les cryptomonnaies. On pourrait même penser que cela va de pire en pire. Le site, qui a déjà dû se déclarer en faillite, et qui n’est manifestement pas en mesure de rendre l’argent dû à tout le monde, a été cette fois la victime d’un incident informatique. Des données ont été récupérées puis diffusées sans autorisation.

L’incident a été signalé sur Twitter le 28 juillet sur le compte piloté par Celsians, qui relaie l’actualité de Celsius. « Nous vous écrivons pour vous informer que nous avons été récemment informés par notre fournisseur Customer.io qu’un de ses employés a accédé à une liste d’adresses électroniques de clients de Celsius détenue sur leur plateforme et les a transférées à une tierce partie. »

Des mails de clients se baladent dans la nature. Gare au phishing

Il apparaît, en l’état actuel des investigations menées par Celsius et Customer, que seules les adresses de courrier électronique ont été compromises. Manifestement, un employé de Customer a accédé à une liste de mails de clients Celsius qui figurait sur la plateforme du prestataire — Customer est une plateforme de messagerie avec qui Celsius travaille.

Ce salarié a ensuite transféré ladite liste à un tiers malveillant. Il n’est pas clair si cet envoi résulte d’une erreur ou s’il a été fait volontairement. Toujours est-il que la fuite serait circonscrite aux seuls mails — même si le prénom et le nom peuvent malgré tout être retrouvés, s’ils apparaissent dans l’identifiant. Aucune autre information n’a été exposée, indique Celsius.

« Nous ne considérons pas que l’incident présente des risques élevés pour nos clients dont les adresses électroniques ont pu être affectées, mais nous diffusons cette communication pour nous assurer que vous êtes au courant », prétend Celsius dans son message, diffusé fin juillet. Une assertion discutable, car ces mails peuvent servir à des campagnes de phishing.

On sait que l’hameçonnage est courant dans le domaine des cryptomonnaies, car cette méthode de capture d’informations personnelles (comme des identifiants et des mots de passe) peut donner des résultats. En récupérant ces éléments, des pirates sont en mesure d’accéder à des comptes mal protégés pour ensuite dérober des fonds, en les faisant passer d’un portefeuille à l’autre.

On ne connaît pas l’ampleur du contenu de cette liste. Celsius assure que de son côté, la sécurité et l’intégrité de ses systèmes n’ont pas été compromis ou impliqués dans cette fuite. Le problème, identifié dès le 30 juin par Celsius, a mis presque un mois à être rendu public. Entre-temps, le 8 juillet, la nature de l’incident avait pu être établie après enquête.

Il n’en demeure pas moins que c’est à travers ses partenaires que le souci est survenu. En matière de compromission, qu’importe si le « maillon » Celsius est très solide : c’est le niveau de résistance du maillon le plus faible qui importe en sécurité informatique. Et ici, c’étaient visiblement les procédures internes de Customer, parce qu’il n’a pas été possible d’empêcher cette divulgation.