Violation de Données chez mSpy : Millions de Clients Exposés
Une récente violation de données chez l’opérateur de surveillance téléphonique mSpy a compromis les informations de millions de clients ayant utilisé l’application de spyware téléphonique au cours des dix dernières années. Les attaquants ont volé des millions de tickets de support client, y compris des informations personnelles, des emails et des documents personnels en mai 2024. Bien que les piratages de fournisseurs de spyware deviennent de plus en plus fréquents, ils restent notables en raison des informations très sensibles souvent incluses dans les données.
Les dossiers de service client dérobés remontent à 2014, provenant du système de support client alimenté par Zendesk du fabricant de spyware.
mSpy se présente comme une application de surveillance téléphonique pour suivre les enfants ou surveiller les employés, mais elle est également utilisée pour espionner des personnes sans leur consentement, d’où le terme stalkerware. L’application permet à celui qui a installé le spyware, généralement après avoir eu un accès physique au téléphone de la victime, de visualiser à distance le contenu du téléphone en temps réel.
Les dossiers clients de mSpy incluent des emails de personnes cherchant à traquer discrètement les téléphones de leurs proches, selon une analyse des données par TechCrunch. Parmi les utilisateurs, on trouve des officiers militaires de haut rang, un juge fédéral américain, et des agences gouvernementales. Les données Zendesk piratées ne représentent probablement qu’une partie des clients de mSpy, ce qui signifie que le nombre total de clients est probablement beaucoup plus élevé.
Cependant, plus d’un mois après la violation, mSpy et sa société mère, Brainstack basée en Ukraine, n’ont toujours pas reconnu publiquement cet incident.
Les Réactions et les Conséquences
Troy Hunt, gestionnaire du site de notification de violation de données Have I Been Pwned, a obtenu une copie de l’ensemble des données divulguées, ajoutant environ 2.4 millions d’adresses email uniques de clients de mSpy à son catalogue de violations de données passées. Hunt a contacté plusieurs abonnés qui ont confirmé que les données étaient exactes.
mSpy est la dernière opération de spyware téléphonique à avoir été piratée ces derniers mois. Cette nouvelle violation démontre une fois de plus que les fabricants de spyware ne peuvent pas garantir la sécurité des données, que ce soit celles de leurs clients ou de leurs victimes.
L’analyse de TechCrunch a révélé plus de 100 gigaoctets de dossiers Zendesk, incluant des millions de tickets de service client et leurs adresses email correspondantes. Certaines adresses email appartiennent à des victimes qui ont été ciblées par les utilisateurs de mSpy. Les données montrent également que certains journalistes ont contacté mSpy après la précédente violation de données de l’entreprise en 2018. Les forces de l’ordre américaines ont par ailleurs demandé des informations à mSpy, parfois obtenant des informations de facturation et des adresses pour des enquêtes criminelles.
Chaque ticket contenait de nombreuses informations sur les personnes contactant mSpy, y compris leur localisation approximative basée sur l’adresse IP du dispositif d’envoi. Une carte de localisation hors ligne montre que les clients de mSpy sont répartis partout dans le monde, avec des concentrations importantes en Europe, en Inde, au Japon, en Amérique du Sud, au Royaume-Uni et aux États-Unis.
La vente ou l’utilisation de spyware pour espionner quelqu’un sans son consentement est illégale dans de nombreux pays. Les procureurs américains ont inculpé des fabricants de spyware par le passé, et les autorités fédérales ainsi que les régulateurs d’État ont interdit certaines entreprises de spyware.
Les emails dans les données Zendesk piratées montrent que mSpy et ses opérateurs sont conscients de l’utilisation du spyware pour espionner des téléphones sans autorisation. Certains clients ont même demandé comment retirer mSpy du téléphone de leur partenaire après que celui-ci l’ait découvert.
Selon les données, un des emails appartient à Kevin Newsom, juge d’appel pour le onzième circuit de la cour d’appel des États-Unis, qui avait utilisé son adresse email gouvernementale pour demander un remboursement à mSpy.
Les agences américains, telles que l’Inspection générale de la sécurité sociale, ont également manifesté de l’intérêt pour mSpy, bien que sans préciser comment elles comptaient l’utiliser.
La Compagnie Derrière mSpy
mSpy, fondée autour de 2010, est l’une des opérations de spyware téléphonique les plus anciennes, ayant accumulé de nombreux clients. Cependant, les opérateurs de mSpy ont été largement protégés des regards du public et des poursuites jusqu’à présent. Le piratage des données Zendesk a révélé que la société mère est une entreprise technologique ukrainienne appelée Brainstack.
Le site web de Brainstack ne mentionne pas mSpy, et les offres d’emploi se réfèrent à une application de « contrôle parental ». Malgré cela, les données Zendesk montrent que Brainstack est intimement impliquée dans les opérations de mSpy.
Implications sécuritaires : Ce que vous devez savoir
Cette violation de données expose des risques significatifs pour la vie privée et la sécurité des utilisateurs de mSpy et des victimes surveillées. Les informations volées comprennent des données personnelles et des communications privées, ce qui peut conduire à des vols d’identité, à du chantage ou à des harcèlements. Les individus ayant utilisé mSpy pour des activités illégales peuvent également être impliqués, augmentant le risque juridique.
Protégez-vous : Étapes clés contre les nouvelles vulnérabilités
Pour se prémunir contre de telles violations, il est crucial d’éviter l’utilisation de spyware tels que mSpy. Assurez-vous d’utiliser des solutions de sécurité robustes sur vos appareils, mettez régulièrement à jour vos logiciels et activez des fonctionnalités telles que l’authentification à deux facteurs. Soyez vigilants quant à l’origine des applications que vous installez et n’hésitez pas à contacter les autorités si vous suspectez une activité illégale ou une intrusion.
