Who Gives A Crap : fuite de données clients via un prestataire

WGAC a été averti le 6 novembre de l'intrusion chez ce qu'il décrit comme « un prestataire logiciel basé aux États-Unis », et a publié les détails le lendemain. « Nous n'avons aucune preuve d'utilisation malveillante à ce stade », a-t-il indiqué. L'entreprise a déconnecté totalement le prestataire, modifié ses identifiants d'accès, prévenu les autorités et écrit aux clients potentiellement touchés, en les invitant à se méfier de l'hameçonnage et des arnaques.

Le lien avec Klaviyo soulève des questions

WGAC ne nomme pas le prestataire, précisant seulement qu'il utilisait les données clients pour mesurer l'efficacité de ses dépenses marketing. L'entreprise misant sur l'e-mail plutôt que sur la publicité payante, une étude de cas montre une collaboration étroite avec Klaviyo, dont les outils ont fait croître sa liste d'abonnés de 640 % en trois ans. Rien ne confirme l'implication de Klaviyo dans cet incident.

Si c'était le cas, l'ampleur pourrait être considérable : selon BuiltWith, plus de 752 000 sites sont actuellement liés à Klaviyo, dont environ 40 000 en Australie. Klaviyo a déjà connu un incident de sécurité en 2022, avec le vol de listes d'e-mails.

Les plateformes marketing attirent les cybercriminels, car elles concentrent des données détaillées sur les clients et leurs habitudes d'achat. Pour les clients de WGAC, le risque principal est l'hameçonnage ciblé s'appuyant sur de vraies informations personnelles.

Fondée en 2012 pour aider les 2 milliards de personnes sans accès à l'assainissement, WGAC a reversé 20,9 millions de dollars à des associations et vise 50 millions d'ici 2028. L'enquête se poursuit avec le prestataire.