Une modification d'un seul caractère par un ingénieur de Capgemini a exposé des données de Razer ; le tribunal a accordé 6,5 M$

Razer a engagé la société de conseil informatique WhiteSky Labs en 2019 pour mettre à niveau sa plateforme de commerce numérique ; Capgemini a acquis WhiteSky en juin 2020 et a repris ses obligations. Capgemini avait recommandé à Razer d'utiliser la pile ELK (Elasticsearch, Logstash et Kibana). Le 17 ou le 18 juin 2020, un employé de Capgemini a été chargé de résoudre un problème parce que le personnel de Razer ne parvenait pas à se connecter à Kibana. Razer a déclaré qu'il avait ajouté un « # » à un fichier de configuration sur le serveur Elasticsearch qui contrôlait la sécurité et l'accès, ce qui a permis un accès non authentifié à Kibana.

Le chercheur en sécurité Bob Diachenko a alerté Razer de l'exposition le 19 août 2020 et a ensuite estimé qu'environ 100 000 clients étaient concernés ; la violation, qui a exposé les détails d'expédition et de commande de milliers de clients dans le monde, a été largement rapportée en septembre 2020. Razer a déclaré que les numéros de carte et les mots de passe étaient en sécurité. L'employé a corrigé le problème le 10 septembre en supprimant le « # ».

Capgemini a nié être à l'origine de la mauvaise configuration et a soutenu que la correction du problème de connexion sortait de son périmètre et que Razer maintenait la pile. Le sixième jour du procès, en juillet 2022, l'employé a admis qu'il en était l'auteur. En décembre 2022, le juge Lee Seiu Kin a conclu que le travail relevait du périmètre contractuel, que Capgemini avait manqué à ses obligations et avait été négligente, et a accordé à Razer 6,5 millions de dollars US, dont principalement 6,1 millions de dollars US de pertes de profits sur Razer.com, plus environ 60 000 dollars US pour les analyses forensiques et 320 000 dollars US pour les frais juridiques liés aux échanges avec les régulateurs.

Une fuite des détails d'expédition et de commande de milliers de clients de Razer ; le tribunal a accordé à Razer 6,5 M$ US (8,7 M$ S), dont principalement 6,1 M$ US de pertes de profits.

Une étape de dépannage sur un problème de connexion a mis en commentaire le paramètre qui appliquait le contrôle d'accès à l'application Kibana.

La modification a été effectuée par un employé d'un prestataire et n'a apparemment pas été détectée lors de la revue, et l'exposition est restée indétectée pendant des semaines.

Capgemini a d'abord nié toute responsabilité et affirmé que le travail sortait du périmètre, jusqu'à ce que son employé admette la modification lors du procès.

Le tribunal a jugé que l'assistance pour la connexion relevait du périmètre des travaux que Capgemini avait acceptés.

Une correction rapide d'un problème de connexion peut désactiver l'authentification ; les prestataires doivent procéder à une revue des modifications, et les clients doivent définir clairement qui est responsable des paramètres de sécurité.

Razer a gagné son procès le 9 décembre 2022 et s'est vu accorder 6,5 millions de dollars US de dommages-intérêts par la Haute Cour de Singapour. Le tribunal a admis que les demandes des clients montraient que l'incident avait réduit la volonté d'acheter sur Razer.com.