Incident de sécurité chez Transak : les pièces d’identités concernées

Le spécialiste de l’achat et de la vente de cryptomonnaie Transak se retrouve face à une fuite de données impactant les données des utilisateurs, dont leur pièce d’identité et vidéo de confirmation d’inscription.

Transak est une plateforme web qui permet aux utilisateurs d’acheter et de vendre des cryptomonnaies de manière simplifiée, en intégrant des solutions de paiement fiat-to-crypto pour de nombreux services décentralisés, comme les portefeuilles de cryptomonnaie et les applications décentralisées (dApps). Concrètement, Transak sert de passerelle entre les monnaies traditionnelles (fiat) et les actifs numériques, en offrant aux utilisateurs la possibilité d’acquérir des cryptomonnaies en utilisant des méthodes de paiement classiques comme les cartes de crédit, virements bancaires, ou autres options locales de paiement.

Transak vient d’alerter ses utilisateurs à la suite d’une exfiltration de données malveillantes. Un incident de sécurité impactant 1,14 % de la base d’utilisateurs, soit 92 554 personnes. L’incident provenait d’un accès non autorisé au poste de travail d’un des employés à la suite d’une attaque de phishing. En utilisant les identifiants de connexion de cet employé, l’attaquant a pu accéder au système d’un fournisseur tiers de vérification d’identité (KYC) que Transak utilise pour les services de vérification de documents. Cela a permis à l’attaquant d’accéder à des informations utilisateur spécifiques via le tableau de bord de ce fournisseur.

Les cyber actus zataz sur WhatsApp

Gratuit, chaque samedi, dans votre boîte mail.

Données consultées

Dans le cadre de cet accès, les informations suivantes ont été consultées pour les utilisateurs concernés : noms, dates de naissance, documents d’identité (passeports, permis de conduire, etc.) et photos et vidéos selfie (Demandées pour valider l’inscription sur Transak pour éviter les faux comptes). Aucune donnée financière sensible n’a été compromise. Le pirate n’aurait pas eu accés aux adresses électroniques, numéros de téléphone, mots de passe, informations de carte de crédit, numéros de sécurité sociale ou toute autre donnée financière.

En tant que plateforme non dépositaire, Transak ne détient jamais les fonds des utilisateurs, qu’il s’agisse de monnaie fiduciaire ou de cryptomonnaie. Ainsi, les actifs des utilisateurs ne sont pas affectés par cette attaque, et les utilisateurs conservent toujours le contrôle total de leurs actifs, assurant que leurs fonds ne sont jamais exposés à de tels incidents. Les pirates ont tout de même des données qui pourraient leur permettre une usurpation d’identité numérique efficace (pièces d’identités, selfies et vidéos).

À ce jour, rien ne laisse supposer que les données consultées ont été utilisées à mauvais escient. Toutefois, si vous êtes clients zataz vous recommande de rester vigilants et de surveiller toute activité suspecte.

ZATAZ cherche pour vous toutes les infos perdues, volées, piratées, et pas que vos mots de passe !

Pendant ce temps…

Le Service Veille ZATAZ a repéré une vente de données impactant, au moins, 1 million de français et françaises. Le pirate propose, pour 300$, 15 000 identités et IBAN. Le pirate n’indique pas la source de sa fuite (Il ne s’agit pas de Free ou SFR, il n’y a pas de pièces d’ID dans ces cas). Il a diffusé un échantillon sur Mega.nz. Données que le Service Veille ZATAZ a fait disparaitre.