Arara Message : jusqu'à 77 millions d'adresses e-mail touchées

Entre le 28 et le 31 octobre, l'attaquant a atteint les environnements informatiques d'entreprises clientes via les serveurs d'Arara Message et extrait, sur 97 serveurs, des adresses e-mail et des données de membres. Selon les clients, elles comprennent nom, sexe, date de naissance, numéro de téléphone, numéro de membre et adresse. Le chiffre est en cours de vérification et peut évoluer. Une personne pouvant posséder plusieurs adresses, il ne correspond pas au nombre de victimes.

Le bilan du premier incident est aussi relevé, de 3,01 millions à 3 386 187 adresses. Les données clients de cinq entreprises, avec noms et raisons sociales, ont pu fuiter, jusqu'à 411 827 enregistrements. Ces chiffres pouvant recouper les 77 millions, ils n'ont pas été additionnés.

Des e-mails d'hameçonnage envoyés via le service

L'attaquant a aussi détourné le service pour envoyer, du 28 au 30 octobre, jusqu'à 7,13 millions d'e-mails se faisant passer pour une société de cartes bancaires. L'expéditeur était news@arara.com et les objets demandaient par exemple de vérifier l'utilisation ou le relevé de la carte. L'entreprise demande de ne pas cliquer sur les liens de ces messages.

Selon Arara, des failles d'un serveur web et des problèmes de l'environnement système sont en cause. Les identifiants détournés ont été invalidés et les communications des serveurs coupées. Avant toute reprise, l'entreprise veut identifier la voie d'intrusion et vérifier la sécurité. Les autres services d'Arara ne sont pas touchés.

Par ailleurs, le service de réservation de loisirs Asoview a annoncé le 3 novembre que 15 821 184 données de membres avaient fuité dans le même incident : adresses e-mail, noms, numéros de téléphone, dates d'achat de billets et noms des sites. Mots de passe et données de cartes bancaires ne sont pas concernés.