• Des pirates se sont introduits dans le serveur de Metam, prestataire du service client de Coinone, vers 4 h le 12 novembre.

• Coinone a révélé que 11 champs de données avaient potentiellement été divulgués, dont des mots de passe et des numéros d'immatriculation de résident.

• Coinone a été informée de la violation par Metam à 9 h 20 le même jour.

11 champs, dont des mots de passe

Coinone a confirmé le 15 novembre que des informations client traitées par un prestataire externe avaient été exposées après que des pirates se sont introduits dans les serveurs de ce prestataire. La plateforme sud-coréenne a déclaré que des personnes non autorisées avaient accédé aux systèmes de Metam, l'entreprise qui gère son service client externalisé, et que les données personnelles recueillies lors des consultations étaient visées. L'intrusion a commencé vers 4 h le 12 novembre, et Metam a signalé l'incident à Coinone à 9 h 20 le même jour.

L’entreprise a publié une liste de 11 catégories de données susceptibles d’avoir fuité : numéro de téléphone, nom, adresse e-mail, date de naissance, numéro de compte bancaire, mot de passe, numéro d’enregistrement des résidents, date de délivrance des pièces d’identité, adresse du domicile, adresse de portefeuille d’actifs virtuels et identifiant de transaction appelé TXID, une chaîne qui permet de repérer un transfert individuel sur une blockchain. Cette liste regroupe les types d’informations que les clients ont communiquées lors de consultations par chat et par téléphone. Cela ne signifie pas que chaque utilisateur a perdu toutes ces données, et les éléments effectivement exposés varient d’un compte à l’autre. Les clients n’ayant jamais sollicité l’assistance ne sont pas concernés par l’incident.

Coinone a indiqué qu’elle préparait un service de vérification, ainsi que des notifications individuelles, afin que chaque utilisateur puisse vérifier quelles données le concernant ont été impliquées. L’entreprise a également souligné que les comptes des membres, le moteur de trading et l’infrastructure des portefeuilles fonctionnent séparément des serveurs de consultation du prestataire, et qu’à la date de publication de l’avis, elle n’avait trouvé aucune trace d’intrusion directe dans ces systèmes.

Signalements aux autorités et avertissement sur les mots de passe

Après avoir pris connaissance de la fuite, Coinone a bloqué les adresses Internet et les voies d’accès non autorisées utilisées lors de l’attaque, et a transféré son centre de relation clientèle à un service de consultation par e-mail uniquement. L’entreprise a signalé l’incident à l’Agence coréenne de l’Internet et de la sécurité (KISA), à la Commission de protection des informations personnelles et au Service de surveillance financière. Elle travaille avec Metam et des spécialistes externes afin de déterminer comment l’intrusion s’est produite et quelle est l’ampleur des dommages. Elle a également renforcé la surveillance en temps réel des connexions et des transactions inhabituelles, et a déclaré qu’elle examinerait directement la gestion de la sécurité du prestataire, ainsi que les mesures de protection en place au sein de son réseau de partenaires.

La plateforme d’échange a averti que les données divulguées pourraient alimenter des escroqueries par hameçonnage vocal, des e-mails d’hameçonnage, des SMS indésirables et des usurpations d’identité. Toute personne ayant communiqué un mot de passe lors d’une consultation a été invitée à le modifier immédiatement et à mettre à jour les mêmes identifiants sur tout autre service où ils auraient été réutilisés. Coinone a rappelé à ses clients qu’elle ne leur demande jamais de mots de passe à usage unique, de codes d’authentification ni de retraits, et que les messages faisant référence à des consultations antérieures peuvent être des usurpations. Les utilisateurs peuvent verrouiller leur compte et vérifier les adresses de retrait enregistrées dans l’application ou sur le site web. L’entreprise leur a demandé de signaler toute connexion, tout ordre ou tout retrait qu’ils n’auraient pas initié.

L’avis indique également que les clients lésés par la fuite peuvent demander réparation, y compris des dommages-intérêts légaux, en vertu du droit coréen. Il distingue deux questions séparées : l’exposition des mots de passe communiqués lors des séances d’assistance, et la question de savoir si le système de comptes propre à la plateforme d’échange a été compromis, ce qui reste à confirmer. Cet épisode fait suite à une enquête similaire menée chez Bithumb, où des pirates avaient compromis un système interne destiné aux employés et où la plateforme avait cherché à déterminer si des données clients avaient été divulguées. L’incident de Coinone est différent, car l’attaque a visé un prestataire d’assistance plutôt que la plateforme de trading elle-même.

Cette fuite montre où se situe la véritable surface d’attaque d’une plateforme d’échange centralisée : dans les opérations humaines externalisées. Aucun fonds n’a été transféré et la conception cloisonnée des systèmes de trading et de portefeuilles semble avoir résisté, raison pour laquelle il s’agit d’une compromission de données plutôt que d’un vol. Le risque est indirect. Les adresses de portefeuille et les TXID sont pseudonymes sur un registre public, comme sur une plateforme d’échange décentralisée (DEX) ; associés à des noms, des numéros d’enregistrement des résidents et des numéros de téléphone, ils fournissent aux fraudeurs des éléments crédibles pour mener des campagnes d’hameçonnage ciblées. Le modèle d’externalisation ne concerne pas uniquement les cryptomonnaies, puisque les banques de la finance traditionnelle (TradFi) gèrent leurs centres d’appels de la même manière. Les audits des prestataires, et pas seulement le stockage à froid, deviennent un facteur de différenciation entre les meilleures plateformes d’échange de cryptomonnaies. Le prochain rapport de Coinone sur l’étendue confirmée de la fuite est donc à suivre.