La banque Morgan Stanley touchée une fuite de données
La banque Morgan Stanley a informé la justice américaine que l’un de ses fournisseurs a été attaqué par le biais de la vulnérabilité Accellion FTA et que certaines informations relatives à des clients – dont des numéros de sécurité sociale – ont été consultées. Dans une lettre datée du 2 juillet et adressée au procureur général du New Hampshire, Morgan Stanley a déclaré que Guidehouse, un fournisseur qui propose des services de tenue de compte à l’activité StockPlan Connect de Morgan Stanley, l’a informé le 20 mai avoir été piraté.
Les informations de certains participants à son programme StockPlan Connect, dont ceux du New Hampshire, ont été “obtenues par un individu non autorisé”. Morgan Stanley a déclaré qu’elle envoie “régulièrement” à Guidehouse un fichier sécurisé des actionnaires StockPlan long dont la déshérence est prévue et “engage Guidehouse à obtenir les coordonnées actuelles de ces participants StockPlan avant le début du processus de déshérence”.
“Bien que les fichiers en possession de Guidehouse aient été chiffrés, Guidehouse nous a dit que la personne non autorisée a pu obtenir la clé de déchiffrement pendant l’incident de sécurité, en raison de la vulnérabilité dans la solution Accellion FTA”, a déclaré la société, ajoutant que les mots de passe des comptes financiers n’ont pas été consultés pendant la violation. “Les fichiers obtenus auprès du fournisseur comprenaient les informations suivantes sur les participants : nom ; adresse (dernière adresse connue) ; date de naissance ; numéro de sécurité sociale (si le participant en avait un) ; et nom de la société.”
Une vulnérabilité largement exploitée
Guidehouse a indiqué à Morgan Stanley que l’attaquant a eu accès aux informations en janvier, mais qu’ils n’ont pas découvert l’attaque avant mars, attendant deux mois de plus pour ensuite en informer Morgan Stanley. Guidehouse a défendu ses actions auprès de Morgan Stanley, affirmant que la vulnérabilité d’Accellion FTA a été corrigée “dans les 5 jours suivant la disponibilité du patch” et qu’ils ont attendu jusqu’en mai pour informer Morgan Stanley en raison de la “difficulté à déterminer rétroactivement quels fichiers étaient stockés dans l’appliance Accellion FTA lorsque l’appliance était vulnérable”.
Interrogé par ZDNet, un porte-parole de Morgan Stanley a déclaré que la “protection des données des clients est de la plus haute importance et est quelque chose que nous prenons très au sérieux.” “Nous sommes en contact étroit avec Guidehouse et nous prenons des mesures pour atténuer les risques potentiels pour les clients”, a fait savoir la direction de l’établissement bancaire. Des lettres de notification de violation ont déjà été envoyées aux personnes qui ont été touchées par l’incident.
La vulnérabilité Accellion FTA a été largement utilisée par les cybercriminels pour lancer une série d’attaques contre certaines des plus grandes entreprises du monde. Le groupe de ransomware Clop s’est fait connaître en attaquant des entreprises utilisant d’anciennes versions du serveur de partage de fichiers Accellion FTA, comme Stanford Medicine et Bombardier. Shell, la Reserve Bank of New Zealand, l’Université de Californie et la société de cybersécurité Qualys ne sont que quelques-unes des victimes attaquées par les membres de Clop grâce à la vulnérabilité de la solution Accellion FTA.
Source : ZDNet.com
