AT&T confirme avoir été victime d’une fuite de données, 73 millions de clients concernés

Le géant américain des télécoms AT&T a déclaré, samedi 30 mars dans un communiqué, que des “données spécifiques à AT&T” faisaient partie d’un ensemble de données personnelles publié sur le dark web à la mi-mars, impactant 73 millions de clients. “D’après notre analyse préliminaire, l’ensemble des données semble dater de 2019 ou avant, et concerne environ 7,6 millions de titulaires de comptes AT&T actuels et 65,4 millions d’anciens titulaires de comptes”, précise la firme de Dallas.

Les codes d’accès divulgués ont été réinitialisés

La société ajoute qu’elle ne sait pas si les données “proviennent d’AT&T ou de l’un de ses fournisseurs”, et qu’elles “datent de 2019 ou d’une date antérieure”. Ces données personnelles contiennent des numéros de sécurité sociale et codes d’accès, et peuvent inclure des adresses e-mail et adresses postales, des numéros de téléphone et dates de naissance. En revanche, les informations personnelles de nature financière et les historiques d’appels ne figureraient pas dans les données dérobées.

Les données fuitées ont été publiées sur un forum sur le dark web à la mi-mars. Dans la foulée, AT&T a entamé la réinitialisation de millions de codes d’accès de comptes clients. Ces codes, qui se présentent généralement sous la forme de numéros à quatre chiffres, sont utilisés comme un moyen de sécurité supplémentaire pour accéder au compte d’un client, lors d’un appel au service client où une visite dans les magasins de la société. Des codes d’autant plus faciles à déchiffrer qu’ils sont personnalisables, et peuvent ainsi correspondre à d’autres données dérobées (date de naissance, partie d’une adresse, etc.).

Une fuite de données qui pourrait dater de plusieurs années

AT&T a réagi suite à la publication des données sur le dark web. Toutefois, selon certains experts en cybersécurité, le contenu de ces données ressemble en de nombreux points à une violation de données similaires revendiquée par un hacker en août 2021. À l’époque, le pirate informatique n’avait publié qu’un petit échantillon des données personnelles des clients, rendant difficile son identification. La firme de télécoms ajoute enfin qu’elle “communique de manière proactive avec les personnes concernées et proposera une surveillance du crédit à [ses] frais, le cas échéant”.

Le laps de temps écoulé entre la fuite de données et l’information aux clients de cette divulgation pourrait être préjudiciable pour la multinationale : “S’ils évaluent la situation, qu’ils ont pris la mauvaise décision et que plusieurs années se sont écoulés sans qu’ils soient en mesure d’informer les clients concernés”, il est probable que l’entreprise ait affaire à des actions collectives, a expliqué Troy Hunt, chercheur en cybersécurité australien et fondateur du site web Haveibeenpwned.com.

En février, AT&T avait été touchée par une panne d’ampleur en février, coupant temporairement l’accès mobile à près de 70 000 Américains. La firme avait alors imputé l’incident à l’exécution d’un processus technique incorrect, dans le cadre de l’élargissement du réseau.