Virgin Media, l'un des plus grands fournisseurs de câble et de télécommunications du Royaume-Uni, maintenait une base de données marketing mal configurée, de sorte qu'elle pouvait être consultée sans autorisation. Cette mauvaise configuration n'a pas été détectée pendant environ dix mois. En mars 2020, l'entreprise a révélé qu'environ 900 000 personnes avaient été touchées, dont des clients de la téléphonie fixe représentant environ 15 % de cette clientèle.
Les données exposées étaient des coordonnées : noms, adresses postales et électroniques et numéros de téléphone. Virgin Media a déclaré que la base de données ne contenait ni mots de passe ni données financières telles que des numéros de carte de crédit ou de compte bancaire. L'entreprise a indiqué avoir pris connaissance du problème, avoir fermé l'accès à la base de données et avoir tenu le Bureau du commissaire à l'information informé.
L'affaire est modeste comparée aux méga-fuites, mais son mécanisme est le plus courant : la base de données n'a pas tant été piratée qu'elle a été laissée ouverte. Une erreur de configuration est restée sans surveillance pendant la majeure partie d'une année, et l'écart entre « mis en place » et « vérifié » est devenu l'exposition des données personnelles de près d'un million de clients.
La fuite n'était pas un piratage mais une erreur de configuration non surveillée ; la correction a consisté à fermer l'accès, mais le coût a été l'exposition des données de près d'un million de clients.
Une base de données marketing était mal configurée, de sorte qu'elle pouvait être atteinte sans autorisation.
La mauvaise configuration est restée indétectée pendant environ dix mois, si bien que la fenêtre d'exposition a été longue avant que quiconque ne vérifie.
La base de données contenait les coordonnées d'environ 900 000 personnes — noms, adresses postales et électroniques et numéros de téléphone.
Aucune surveillance ni revue des accès n'a détecté la base de données ouverte ; la défaillance était une absence de vérification, non une attaque sophistiquée.
La leçon
Les données des clients ont besoin d'un responsable qui les vérifie. La base de données marketing de Virgin Media est restée mal configurée pendant dix mois avant que quiconque ne le remarque — la fuite était l'écart entre « configuré » et « surveillé ».
Suites
Virgin Media a fermé l'accès à la base de données, contacté les clients concernés et tenu le Bureau du commissaire à l'information du Royaume-Uni informé. Comme aucune donnée financière ni aucun mot de passe n'a été exposé, le préjudice immédiat pour les clients a été limité, mais l'incident est cité comme un exemple d'école de la façon dont les fuites de données se produisent habituellement : non par une intrusion habile, mais par un système mal configuré que personne ne surveillait.
VÉRIFIEZ LES SOURCES