Le serveur de MetaM, prestataire auquel Coinone avait externalisé son service client, a été piraté. Onze catégories de données, dont les noms des clients, leurs coordonnées bancaires et leurs numéros d’identification résidentielle, pourraient avoir été divulguées. La plateforme a remplacé son service client par un dispositif fonctionnant uniquement par courriel et a signalé l’incident aux autorités sud-coréennes. (Rappel : après avoir reçu une lettre de menace de pirates, la plateforme sud-coréenne d’échange de cryptomonnaies GOPAX suspend toutes ses transactions et transfère ses actifs dans des portefeuilles froids.) (Contexte : la plateforme sud-coréenne Upbit piratée, avec 30,4 millions de dollars dérobés ! Dunamu, sa société mère récemment rachetée par Naver, rembourse la totalité des pertes.) Coinone, la troisième plus grande plateforme sud-coréenne d’échange de cryptomonnaies, a confirmé dimanche que son service client externalisé avait été piraté. Les noms, coordonnées bancaires et même numéros d’identification résidentielle que les clients avaient communiqués lors d’échanges téléphoniques ou en ligne figurent parmi les données susceptibles d’avoir été divulguées. Selon un communiqué publié sur le site officiel de Coinone, un pirate externe a accédé illégalement vers 4 heures du matin, le 12 novembre, aux serveurs de MetaM (메타엠), l’entreprise chargée du service client. Les historiques des échanges avec le service client qui y étaient stockés ont été consultés ou emportés. Coinone indique avoir appris l’incident après avoir été alertée par MetaM, vers 9 h 20 le même jour. Coinone a dressé la liste des données susceptibles d’avoir été divulguées : numéros de téléphone, noms, adresses électroniques, dates de naissance, coordonnées bancaires, mots de passe, numéros d’identification résidentielle (l’équivalent sud-coréen d’un numéro de carte d’identité), dates de délivrance des pièces d’identité, adresses personnelles, adresses de portefeuille et identifiants de transaction (TXID), soit 11 éléments au total. Coinone souligne que cette liste regroupe tous les types de données potentiellement concernés et que les informations effectivement divulguées peuvent varier d’un client à l’autre, puisque les renseignements communiqués différaient selon les consultations. Concernant l’ampleur de l’incident, Coinone précise que les clients qui n’ont jamais contacté son centre d’assistance ne sont pas concernés, mais n’a pas révélé combien de clients ont vu leurs données touchées. L’entreprise indique qu’elle mettra à disposition un service permettant de vérifier les fuites de données personnelles, afin que les clients puissent savoir quelles catégories d’informations les concernant sont exposées à un risque. Sur la question qui préoccupe le plus les clients, celle de la sécurité des actifs, Coinone explique que les comptes des membres, les transactions et les systèmes de portefeuilles d’actifs virtuels fonctionnent séparément des serveurs de MetaM et qu’aucun signe d’intrusion directe n’a été détecté à ce jour. L’entreprise précise également que toute connexion nécessite une deuxième étape de vérification : en plus d’un mot de passe correct, il faut s’authentifier au moyen d’un OTP enregistré par le client ou de la vérification KakaoTalk sur son téléphone personnel. Les demandes de connexion provenant d’applications non officielles sont automatiquement bloquées. Ces données divulguées ne suffisent donc pas, à elles seules, à se connecter aux comptes ou à retirer des actifs. Pour gérer l’incident, Coinone indique avoir interrompu, dès qu’elle en a eu connaissance, les services téléphoniques et de chat en direct de son service client externalisé, pour passer à un fonctionnement uniquement par courriel. Elle a également bloqué les voies d’accès illégales et procédera à un examen complet de ses propres dispositifs de cybersécurité et de ceux de ses partenaires. L’entreprise avertit aussi que des escrocs pourraient se servir de détails obtenus lors d’échanges précédents pour se faire passer pour Coinone. Les clients qui reçoivent un appel, un courriel ou un SMS suspect doivent rester vigilants et modifier tout mot de passe qu’ils auraient communiqué lors d’une consultation. Pourquoi les services clients externalisés deviennent-ils un point faible ? Le point le plus notable dans cette affaire est que le système compromis n’était pas le système central de gestion des comptes de la plateforme d’échange, mais celui d’un prestataire tiers chargé de répondre aux appels. Ce scénario se répète dans l’ensemble du secteur mondial des cryptomonnaies : des prestataires de plateformes divulguent les coordonnées de leurs clients, exposant des dizaines de milliers d’utilisateurs au risque d’hameçonnage. Les systèmes centraux des plateformes, protégés par plusieurs couches de séparation et des mécanismes d’authentification, sont quant à eux relativement plus difficiles à pirater directement. Lorsqu’une plateforme confie à des prestataires externes des services comme l’assistance client, le marketing ou le cloud, elle ne peut pas pour autant externaliser sa responsabilité en matière de cybersécurité. Le niveau de protection des serveurs d’un petit partenaire détermine directement le niveau minimal de sécurité des données des clients de la plateforme. La Corée du Sud durcit sa réglementation dans la même semaine Le moment est particulièrement délicat. Le jour même où Coinone a été informée de l’intrusion dans les serveurs de son service client, le 12 novembre, la Commission des services financiers de Corée (FSC), présidée par son vice-président, a organisé une « réunion sur les mesures de sécurité dans le secteur des actifs virtuels ». La Commission a déclaré que le secteur avait récemment connu « une série de fuites de données et d’incidents de cybersécurité », puis a approuvé plusieurs mesures. La réunion a demandé aux entreprises de mettre en place des systèmes de surveillance et d’intervention opérationnels 24 heures sur 24, toute l’année. Celles qui ne peuvent pas assurer une permanence 24 h/24 ne pourront traiter les dépôts et les retraits que pendant les périodes où elles sont en mesure de maintenir une surveillance, et devront en informer leurs clients à l’avance. Une autre décision importante autorise les entreprises à geler préventivement les dépôts et les retraits dès qu’elles soupçonnent une attaque. La FSC souligne que la loi actuelle (loi sur la protection des utilisateurs d’actifs virtuels) n’autorise la suspension des dépôts et des retraits qu’une fois l’attaque informatique clairement établie. Or, comme le montrent des cas tels que celui de Binance, une intervention plus rapide permet de limiter les pertes des clients. La Commission publiera donc un « avis de non-objection » à l’intention des entreprises, afin que les plateformes qui bloquent les opérations par anticipation n’aient pas à craindre d’enfreindre la loi. La réunion a également demandé que la part des actifs des clients conservée dans des portefeuilles froids soit portée au niveau maximal. Le minimum réglementaire est actuellement de 80 %, tandis que la moyenne réelle du secteur dépasse déjà 95 %. Les entreprises sont aussi encouragées à réduire au minimum les soldes des portefeuilles chauds, à répartir les actifs entre plusieurs portefeuilles et à augmenter les plafonds d’indemnisation des assurances ainsi que les réserves financières. La FSC a également pointé le faible taux d’adhésion à l’Institut de sécurité financière : parmi les 28 entreprises d’actifs virtuels, seules cinq plateformes proposant des marchés en wons sud-coréens en sont membres. Elle encouragera les autres entreprises à les rejoindre afin qu’elles puissent bénéficier, au même titre que les institutions financières, du partage de renseignements sur les menaces, de contrôles de vulnérabilité et de formations à la cybersécurité. Les entreprises qui ne peuvent réellement pas adhérer bénéficieront d’un soutien comparable à celui accordé aux petites et moyennes institutions financières. Quant au projet de (loi sur les actifs numériques), encore examiné par l’Assemblée nationale, il imposera aux entreprises du secteur les mêmes obligations de sécurité informatique et de responsabilité en matière d’indemnisation que celles qui incombent aux institutions financières. Articles connexes : La troisième plus grande plateforme sud-coréenne d’échange de cryptomonnaies, Coinone, va-t-elle changer de propriétaire ? Selon certaines informations, Korea Investment & Securities prévoit d’acquérir une participation, en réponse au groupe Mirae Asset. Coinbase nie avoir été piraté ! La fuite des coordonnées de ses clients serait liée à Amplitude. Les données de 69 000 utilisateurs de Coinbase divulguées) : l’entreprise annonce une indemnisation pouvant atteindre 400 millions de dollars et refuse de payer la rançon des pirates. Les données personnelles de 46 000 employés de TSMC mises en vente sur le dark web pour 3 bitcoins ; l’entreprise reconnaît une fuite, mais affirme que ses systèmes n’ont pas été piratés. Alerte à la fuite de données chez SafePal : les informations personnelles de près de 40 000 clients exposées, mais les actifs et les clés privées sont en sécurité. « Le service client externalisé de Coinone, la troisième plus grande plateforme d’échange de Corée du Sud, piraté ! Les noms, numéros d’identité et coordonnées bancaires pourraient avoir été divulgués. » Cet article a été publié initialement sur BlockTempo (動區動趨, le média d’information sur la blockchain le plus influent).