Loterie japonaise : 4 436 comptes piratés sur le site officiel

Comment le piratage du site de la loterie a-t-il eu lieu ?

Un communiqué du 11 novembre évoquait une attaque dite « par liste », ou credential stuffing. Les pirates testent sur un nouveau site des paires adresse e-mail et mot de passe issues de fuites ailleurs, en pariant sur la réutilisation des mots de passe. Selon les autorités, rien n'indique une intrusion dans les serveurs ou les bases de données du site, et aucune fuite de données de membres n'est confirmée.

Quelles données étaient visibles ?

Une fois connectés, les pirates pouvaient voir nom, date de naissance, sexe, adresse, numéro de téléphone et adresse e-mail. Les coordonnées bancaires pour le versement des gains étaient aussi accessibles : nom de la banque, quatre premiers chiffres du compte et titulaire. S'y ajoutaient les quatre derniers chiffres de la carte bancaire, l'historique d'achats (type de jeu, montant, gagnant ou perdant) et la photo de profil, si elle existait.

À ce stade, aucun achat de billet via un compte détourné ni aucun gain redirigé par modification des coordonnées bancaires n'a été constaté.

Que doivent faire les utilisateurs ?

Ils doivent réinitialiser leur mot de passe, vérifier leurs informations et se méfier des e-mails et sites suspects. Ceux qui utilisent les mêmes identifiants ailleurs doivent aussi les changer. Les victimes sont prévenues individuellement par e-mail, et une ligne d'assistance a été ouverte.