1,3 million de données personnelles volées chez Monster

Des pirates ont récupéré les coordonnées d'internautes qui avaient déposé leur curriculum vitae sur le site. La faille touche surtout des Américains.

L'image de marque du site en prend un sacré coup. Les données confidentielles de quelque 1,3 million de candidats ont été récupérées par des pirates. Selon Monster, les informations ' se limitaient aux noms, adresses postales, numéros de téléphone, numéros de sécurité sociale [aux Etats-Unis, NDLR] et adresses e-mail. Aucun autre type de donnée, et notamment les références bancaires des clients, n'a été intercepté .'L'entreprise a également précisé que cette attaque touchait en majorité des internautes américains. ' Sur les 1,3 million d'internautes concernés, moins de 5 000 se trouvent hors des Etats-Unis. ' Mais Monster n'est pas encore en mesure d'indiquer si des Français se trouvent parmi ces victimes.Cette opération malveillante s'est déroulée en deux étapes. La première a consisté à pénétrer la base de CV du site américain. La technique employée est classique. Des bannières publicitaires diffusées sur le site de Monster cachaient en réalité un trojan (ou cheval de Troie) appelé Infostealer.Monstres.Ce programme malveillant s'installait dès qu'on cliquait sur l'annonce. Il enregistrait alors les identifiants et les mots de passe des employeurs qui se connectaient à la rubrique leur permettant de consulter les candidatures. Le trojan pouvait ensuite récupérer les informations confidentielles présentes dans les CV et les envoyer automatiquement vers les pirates.

Une rançon pour récupérer ses données

Selon le site zataz.com, ces escrocs auraient une vingtaine de serveurs répartis un peu partout dans le monde. Pour l'instant, un seul a été repéré et neutralisé par Monster... Pour ne pas être repéré par des antivirus et les pare-feu, ce code malveillant était modifié régulièrement pour que sa signature (son empreinte digitale) et son activité ne soient pas détectées.La seconde partie de l'escroquerie a consisté à lancer une opération de phishing. De faux e-mails (mais très réalistes) de Monster ont été adressés à toutes les victimes. Le courrier les encourageait à télécharger un outil de demandeur d'emploi appelé ' Monster Job Seeker Tool '. En réalité, il s'agissait d'un programme malveillant (une énième version de Trojan.Gpcoder aussi appelé Trojan.Pgpcoder) qui a crypté des dossiers sur l'ordinateur des candidats. Pour accéder de nouveau à ces données, les internautes doivent payer une rançon. Une arnaque déjà exploitée plusieurs fois.Pour sensibiliser les internautes aux attaques de phishing, Monster a mis en ligne un guide en anglais.

Des dizaines de millions de données personnelles dans la nature

Le vol d'informations confidentielles est devenu une activité en pleine croissance. Il ne se passe pas un mois sans que l'on apprenne une perte de données. La visite du site Etiolated fait froid dans le dos.

Ce site recense toutes les affaires. Elles se répartissent en deux catégories. Il y a premièrement le vol. Le ' casse ' le plus spectaculaire a eu lieu début 2007 : 45,6 millions de numéros de cartes de crédit ont été dérobés dans les bases de données du groupe de distribution américain TJX. Révélé en début d'année, ce piratage aurait débuté dès 2005 par l'infiltration de différents serveurs.

La seconde catégorie concerne les pertes. En avril 2005, Citigroup a perdu des bandes magnétiques contenant les données privées d'environ 4 millions de comptes. En février 2005, la troisième banque américaine (quelque 38 millions de comptes privés et d'entreprises) a perdu des données financières de 1,2 million de fonctionnaires de l'Etat fédéral américain.