3,2 millions de données de canadiens en vente dans un blackmarket

Un pirate informatique met en vente une base de données de 3,2 millions d’informations appartenant à des canadiens. ZATAZ réussi à mettre la main sur le document commercialisé à la suite d’une erreur du pirate.

Il y a des tours de passe-passe qui se réussissent sans même le vouloir, juste en profitant d’une erreur. Alors que je suivais la conversation d’un malveillant nord américain, une discussion concernant une base de données de 3,2 millions de canadiens m’a fait tendre l’oreille.

Le pirate commercialise son « butin » 1.000 dollars.

Dans ses propos tenus dans un espace privé dédié aux données piratées, il expliquait proposer des adresses mails et mots de passe de compte en  « .ca », « .qc.ca » et « on.ca ». Je tente d’entrer en contact avec lui, sans trop de mal, je l’avoue. Il me fait la promotion de son produit, s’étonne, mais pas trop, de ma prise de contact, ne participant pas à son espace de vente.

Je lui demande un échantillon qu’il me propose à 10 dollars, les 10.000 lignes. Une méthode et un tarif classique chez ces commerçants pirates.

Je n’achète rien, ne vend rien, n’échange rien, ne donne rien… mais je suis lourdingue avec ce vendeur lui expliquant, durant plus de 30 minutes, qu’une preuve de quelques lignes me suffira. Je le contacte via 4 comptes différents, histoire de lui mettre un gentille pression et espérer une action de sa part.

Ce pirate accepte via un compte se faisant passer pour une jeune malaisienne ! Il aurait pu me bannir ou stopper la communication, mais décide de me communiquer l’intégralité des 3,2 millions de comptes. Une « f*cking error » ! Mon interlocuteur m’alerte sur son « miss click » et me menace de bannir mon accès, moi la gentille malaisienne 🙂 si je ne détruis pas le fichier que je viens de recevoir. Plus exactement, un lien, vers Mega.nz qui me doit me permettre le téléchargement.

Je remercie encore la fibre d’exister car, entre le moment du lien et la menace, à peine 15 secondes. Mais un temps suffisant pour récupérer le matériel. Le pirate utilise un mega piraté. Il ne peut pas savoir si j’ai téléchargé, ou non, le fichier. A la 16ème seconde, le lien mis hors service par le vendeur. Moi, j’ai juste indiqué ne pas avoir eu le temps de télécharger le fichier. La fausse p’tite dame n’a pas été bannie. Elle ressortira peut-être un jour !

Mais que contient cette base de donnes ?

En analysant ce fichier, me voici avec 3,316,552 adresses électroniques et mots de passe. Un combo classique dans le milieu, mais plus rare, Celui-ci est 100% canadiens, avec des contenus 0day, jamais exploités. Le pirate mettait d’ailleurs un point d’honneur sur ce sujet.

Plusieurs centaines de domaines différents, dont 52 678 qc.ca (Québec), 11 343 appartenant à l’Université de Toronto ou encore 47 550 comptes on.ca (Ontario).

Les données semblent avoir été collectées via de multiples sources. Connaissant cet interlocuteur vendeur/gaffeur, prioritairement via des actions de phishing/filoutage.