La violation des données dans l’État de Washington pourrait affecter 1,6 million de personnes

Le gouvernement de l’État de Washington a subi une importante violation de données impliquant des demandes de chômage, exposant potentiellement des données sur plus de 1,6 million de personnes, fonctionnaires admis lundi.

Les données semblent avoir été compromises par Accellion, un fournisseur tiers qui contractait avec le bureau du commissaire aux comptes. À la mi-décembre, la société a subi une cyberattaque via une vulnérabilité zero-day dans son ancienne application de transfert de fichiers.

Les données exposées sont assez sensibles et comprennent les noms, le compte bancaire et les informations de routage, les numéros de sécurité sociale, le lieu de travail et les numéros de permis de conduire.

Tout cela s’est produit, ironiquement, alors que le bureau de l’auditeur cherchait à mener une enquête approfondie sur les problèmes permanents de l’État avec la fraude au chômage – dont certains ont été liés à des cyberacteurs notoires, comme le Nigérian groupe de menaces Scattered Canary. SAO utilisait le logiciel de transfert de fichiers d’Accellion pour examiner les demandes de chômage déposées à Washington au cours de l’année écoulée, le bureau du vérificateur a déclaré lundi:

SAO examinait toutes les données relatives aux réclamations dans le cadre d’un audit de cet incident de fraude. Les données concernent environ 1,6 million de réclamations et comprenaient le nom de la personne, le numéro de sécurité sociale et / ou le permis de conduire ou le numéro d’identification d’État, les informations bancaires et le lieu de travail.

Le bureau du SAO a déclaré qu’il n’avait été informé que récemment de l’étendue de la violation, car l’attaque semble s’être produite le 25 décembre et leur bureau n’en a été informé que le 12 janvier. après qu’Accellion ait annoncé qu’il avait été piraté. Le bureau a en outre déclaré qu’ils «cherchaient à comprendre pleinement le calendrier de l’incident et l’état d’avancement de l’enquête d’Accellion et de l’enquête menée par les forces de l’ordre» et qu’ils n’avaient pas actuellement «suffisamment d’informations pour tirer des conclusions sur le calendrier ou la portée de ce qui s’est passé.

Accellion affirme que il a corrigé la faille dans les 72 heures d’en avoir été informé, mais que l’incident de sécurité initial n’était que le «début d’une cyberattaque concertée» contre son produit FTA qui s’est poursuivie «jusqu’en janvier». La société a par la suite «identifié des exploits supplémentaires dans les semaines qui ont suivi et a rapidement développé et publié des correctifs pour fermer chaque vulnérabilité», a-t-il déclaré.

D’autres institutions importantes ont également été touchées par cette attaque, notamment grand cabinet d’avocats australien Allens et la Banque de réserve de Nouvelle-Zélande.

Accellion a annoncé que c’était contracting avec une «firme de criminalistique de cybersécurité leader du secteur» pour produire une évaluation de la façon dont l’attaque s’est produite. Il a promis de partager les conclusions du rapport lorsqu’il sera disponible.

Mise à jour le 02/01/2021 à 18h27: L’histoire originale a mal indiqué le nombre de personnes potentiellement affectées et a depuis été corrigée.