Pathao confirme le vol de données personnelles, tandis que des allégations non vérifiées évoquent 19 millions de comptes exposés

Vol de données confirmé, mais son ampleur reste inconnue

Pathao a confirmé que des attaquants avaient obtenu les noms, adresses e-mail et numéros de téléphone de certains utilisateurs lors d’un incident de cybersécurité survenu le 4 octobre, qui a perturbé ses activités au Bangladesh et au Népal. L’entreprise n’a pas confirmé une allégation bien plus vaste selon laquelle des criminels auraient dérobé 133 gigaoctets de données concernant 19 063 918 comptes et exigé 400 000 USDT pour ne pas les divulguer.

La distinction est importante : Pathao reconnaît le vol de certaines données personnelles, tandis que l’exposition présumée de pièces d’identité, de transactions financières, de mots de passe et de données de localisation n’est pas vérifiée. L’entreprise n’a pas indiqué combien de personnes étaient concernées, comment les attaquants avaient pénétré dans ses systèmes ni combien de temps ils y avaient eu accès.

Dans son communiqué du 7 octobre publié sur sa page Facebook vérifiée, Pathao a confirmé publiquement pour la première fois que des données personnelles avaient été obtenues. L’entreprise a décrit les informations qui, selon elle, étaient parvenues aux attaquants :

Nous comprenons que certains renseignements personnels, notamment des noms, des adresses e-mail et des numéros de téléphone, ont été obtenus par des acteurs malveillants.

Pathao a indiqué avoir temporairement mis hors ligne des systèmes critiques après avoir détecté l’incident, puis rétabli ses services peu après et fait appel à des spécialistes externes en cybersécurité. Certains utilisateurs pourraient encore rencontrer des problèmes intermittents pendant la poursuite des travaux de stabilisation de la plateforme.

L’incident ne concerne pas un seul service. Pathao propose des services de transport et de livraison ainsi que des produits financiers, dont le portefeuille numérique Pathao Pay et le service Pathao Pay Later. Cette diversité rend indispensable de déterminer quels systèmes et dossiers ont été touchés, mais la seule existence de produits financiers ne permet pas d’établir que des informations de paiement ont été dérobées.

Au 9 octobre, l’entreprise enquêtait toujours sur les allégations relatives à l’ensemble de données plus vaste. Elle avait confirmé des perturbations dans les deux pays, mais n’avait pas précisé le nombre d’utilisateurs ou de dossiers concernés dans chacun d’eux.

Déroulement de l’incident

Les informations communiquées publiquement couvrent les premières perturbations, la reconnaissance des faits par l’entreprise et ses réponses ultérieures au sujet de l’ensemble de données présumé. Les dates indiquent quand l’incident a été détecté et évoqué publiquement, mais pas la durée totale de l’accès des attaquants.

• 4 octobre : Pathao détecte un incident de cybersécurité, subit des perturbations de service et met temporairement hors ligne des systèmes critiques par mesure de précaution.
• 7 octobre : Pathao reconnaît publiquement que certaines données personnelles ont été obtenues. Une capture d’écran d’une publication présumée sur un forum criminel circule également sur X ; elle évoque un vol de données bien plus important et une demande de rançon.
• 9 octobre : De nouvelles réponses de l’entreprise confirment que ses activités au Bangladesh et au Népal ont été touchées, tandis que le volume de données présumé, le nombre de dossiers et les catégories d’informations sensibles restent à l’étude.

Pathao a indiqué que les services avaient repris peu après leur interruption. L’entreprise n’a pas précisé la durée exacte de celle-ci ni fourni de compte rendu technique du rétablissement. Rétablir l’accès à une application et mener à bien une enquête sur une fuite sont deux tâches distinctes : les services peuvent être rétablis tandis que les enquêteurs cherchent encore à déterminer quelles informations ont été prises.

Contenu de l’ensemble de données présumé

Les criminels affirment que l’ensemble comprend environ 250 millions de lignes réparties dans 591 tables, dont une base de comptes principale contenant 19 063 918 enregistrements. Une ligne de base de données est une entrée individuelle, tandis qu’une table regroupe des entrées d’un même type. Plusieurs lignes peuvent correspondre à une seule personne : 250 millions de lignes ne signifieraient donc pas que 250 millions d’utilisateurs sont concernés.

Les données de compte présumées comprennent des noms, des numéros de téléphone, des adresses e-mail, des données de mot de passe, des informations GPS, des identifiants Facebook et des jetons d’accès. Un jeton d’accès est un identifiant numérique qui peut permettre à une application d’accéder à un compte ou à un service sans demander le mot de passe à chaque fois.

Les descriptions de certains éléments de l’allégation divergent selon les informations publiées. L’une parle de mots de passe hachés, tandis qu’une autre mentionne simplement des mots de passe. Le hachage transforme un mot de passe en une représentation stockée plutôt que de conserver son texte lisible, mais une exposition peut malgré tout présenter des risques selon la manière dont les données ont été protégées. Pathao n’a confirmé le vol d’aucun de ces deux types de données.

La structure est également décrite de différentes façons : certaines sources parlent de 591 tables de base de données, tandis qu’une autre évoque des bases de données ou des dépôts de données. Ces termes ne sont pas interchangeables. Sans ensemble de données authentifié ni conclusion technique, il est impossible d’en établir la structure exacte.

Les documents d’identité présumés comprennent 19 059 387 numéros de carte nationale d’identité et 19 046 583 entrées de permis de conduire. Les allégations portent aussi sur environ 5,7 millions d’adresses domiciliaires et, dans certains récits, près de 19 millions de photos d’utilisateurs. Pathao n’a confirmé aucune de ces catégories.

Le nombre précis de comptes ne permet pas non plus de déterminer celui des personnes distinctes concernées. Avant de considérer ce chiffre comme le nombre d’utilisateurs touchés, les enquêteurs devraient établir si les données sont authentiques, à jour ou dupliquées.

Des données sur les employés, les commerçants et les transactions également concernées selon les allégations

Le vol présumé ne se limite pas aux profils des clients. L’ensemble de données allégué comprend des dossiers concernant 549 employés, avec des informations sur leur carte nationale d’identité, leurs salaires, leur appartenance religieuse et leurs numéros de contact en cas d’urgence. D’autres allégations mentionnent des données d’accès administrateur, des lieux de livraison et les trajets des chauffeurs.

Les allégations financières portent notamment sur 17 943 coordonnées de comptes bancaires et de codes de routage de commerçants, ainsi que sur 845 872 enregistrements de prélèvements automatiques. Les informations de routage bancaire identifient l’établissement ou l’agence concerné par un paiement. Un enregistrement de transaction documente un paiement, mais sa présence ne suffirait pas à établir qu’un attaquant pouvait transférer de l’argent.

Ces chiffres correspondent à différents types de dossiers et ne peuvent pas être additionnés pour déterminer le nombre de victimes. Les données des employés, les comptes des commerçants et les transactions répétées peuvent recouper d’autres entrées de l’ensemble de données présumé.

Md. Foyej, responsable des partenariats et des relations publiques chez Pathao, a déclaré que l’entreprise n’avait pas vérifié les allégations concernant les catégories sensibles. Dans une réponse par e-mail, il a indiqué :

Les allégations concernant les numéros de carte nationale d’identité, les permis de conduire, les données de localisation, les adresses ou les données financières n’ont pas été vérifiées à ce stade. Toute autre information vérifiée sera communiquée par les canaux officiels de Pathao.

La demande de rançon reste non confirmée

La publication criminelle présumée réclamait 400 000 USDT, soit environ 400 000 dollars selon les informations publiées. L’USDT, également appelé Tether, est une cryptomonnaie conçue pour suivre la valeur du dollar américain. Le groupe aurait donné 24 heures à Pathao pour payer et menacé de publier les informations par étapes.

Les publications annoncées auraient notamment concerné des données d’identité, bancaires, relatives aux employés et administratives. Cette allégation et son échéance n’ont pas pu être vérifiées de manière indépendante. Les informations disponibles ne permettent pas d’établir le début du délai, une éventuelle décision de paiement ni une publication ultérieure des données.

Interrogé au nom de Pathao, Foyej a refusé de confirmer l’existence de la demande présumée :

Pathao ne souhaite pas commenter des allégations non vérifiées concernant des demandes de rançon.

La menace de publier des informations dérobées constitue une forme d’extorsion de données. Elle ne signifie pas nécessairement que les attaquants ont chiffré les systèmes ou empêché l’entreprise d’accéder à ses propres fichiers. Pathao n’a pas communiqué d’éléments attestant un chiffrement ni expliqué le mécanisme technique à l’origine des perturbations.

Les mesures annoncées par Pathao

La réponse annoncée par Pathao comporte trois volets principaux : la mise hors ligne de systèmes critiques, le recours à des spécialistes externes en cybersécurité et l’information des autorités compétentes. L’entreprise a indiqué avoir averti les forces de l’ordre ou des organismes publics conformément aux règles applicables, sans nommer les organismes concernés ni préciser les dispositions juridiques en question.

Dans son communiqué public, Pathao a décrit les mesures prises immédiatement et le rôle des spécialistes :

Des mesures immédiates de confinement ont été prises et des experts externes en cybersécurité ont été mobilisés pour renforcer les dispositifs de sécurité et contribuer à garantir la sécurité et la stabilité des systèmes de Pathao.

L’entreprise a déclaré coopérer avec les autorités pendant la poursuite de l’enquête. Elle a présenté ses excuses aux utilisateurs, aux chauffeurs, aux commerçants et à ses partenaires pour l’incident et les perturbations, reconnaissant sa responsabilité dans la protection des informations qui lui sont confiées.

Foyej a également indiqué que des mesures de précaution avaient pu déconnecter automatiquement certains utilisateurs. Ceux-ci pouvaient se reconnecter pour utiliser le service. Une déconnexion automatique ne prouve pas, à elle seule, que les données d’une personne en particulier ont été dérobées.

Pourquoi même les coordonnées peuvent présenter des risques

L’exposition confirmée de noms, d’adresses e-mail et de numéros de téléphone fournit aux attaquants des informations susceptibles de rendre leurs tentatives de contact frauduleuses plus convaincantes. Un message qui s’adresse à quelqu’un par son nom et mentionne un service qu’il utilise peut sembler plus crédible qu’une demande anonyme.

L’hameçonnage consiste à se faire passer pour une organisation ou une personne de confiance afin d’inciter quelqu’un à divulguer des informations, à cliquer sur un lien malveillant ou à autoriser une opération. Pathao a mis en garde contre ce risque, mais n’a pas indiqué que des attaques par hameçonnage ou usurpation d’identité liées à la fuite avaient déjà eu lieu.

Le spécialiste des technologies de l’information Suman Ahmed Sabir a cité l’usurpation d’identité, la fraude bancaire, l’hameçonnage, le chantage et le piratage de comptes sur les réseaux sociaux parmi les risques possibles si les allégations plus larges se révélaient exactes. Son analyse porte sur des conséquences éventuelles, et non sur des délits avérés contre des utilisateurs de Pathao.

Le type d’information exposé modifie le niveau de risque. Les coordonnées peuvent servir à mener des tentatives de tromperie ciblées ; les pièces d’identité, à usurper une identité ; les données de localisation et de trajet, à révéler des déplacements privés. Les jetons d’accès peuvent compromettre la sécurité des comptes, selon leurs autorisations et leur durée de validité. Pathao n’a pas confirmé l’exposition de ces catégories plus sensibles.

Les recommandations aux utilisateurs

La principale consigne de Pathao est de se méfier des messages, appels et liens inattendus provenant de personnes qui prétendent représenter l’entreprise. Elle a demandé aux utilisateurs de ne communiquer aucun mot de passe, code PIN ou code à usage unique en réponse à ce type de contact.

Un OTP est un code temporaire servant à autoriser une connexion ou une transaction. Le communiquer peut permettre à quelqu’un d’autre d’effectuer l’opération qu’il protège, même sans connaître le mot de passe habituel du compte.

L’entreprise a conseillé aux utilisateurs de consulter ses canaux de communication officiels pour obtenir des informations vérifiées. Les conseils de sécurité évoqués au sujet de l’incident comprennent également le fait d’éviter les liens inconnus et d’activer l’authentification à deux facteurs sur Facebook et d’autres comptes. Cette méthode ajoute une seconde étape de vérification au mot de passe.

Ces précautions visent à prévenir une éventuelle utilisation abusive des données sans présumer que toutes les allégations sont exactes. Aucun chiffre confirmé ne fait état de comptes Facebook compromis, de transactions frauduleuses ou de cas d’usurpation d’identité liés à cet incident.

Les points que l’enquête doit encore établir

Le spécialiste en cybersécurité Tanvir Hassan Zoha a recommandé une enquête indépendante en criminalistique numérique, la préservation des serveurs concernés et des journaux d’accès, ainsi que la notification des autorités de régulation et des forces de l’ordre conformément à la législation applicable. La criminalistique numérique s’appuie sur des éléments techniques pour reconstituer les faits, notamment les systèmes auxquels il a été accédé et les opérations effectuées.

La conservation des journaux est importante, car elle peut aider à déterminer le mode d’intrusion, la période d’accès non autorisé et les dossiers consultés par un attaquant. Pathao a annoncé le recours à des spécialistes externes, mais n’a pas précisé s’il s’agissait d’une enquête indépendante en criminalistique numérique ni publié ses conclusions.

Sabir a également estimé que la supervision de la cybersécurité au Bangladesh était limitée par le manque de personnel et de ressources, y compris au sein des institutions chargées de répondre aux incidents. Il a appelé à la mise en place d’un cadre juridique d’indemnisation des clients ayant subi des pertes. Il s’agit de ses évaluations et recommandations, et non de conclusions d’une autorité enquêtant sur Pathao.

Les principales questions encore en suspens sont plus précises : combien d’utilisateurs ont été concernés, quelles catégories d’informations ont été dérobées, des données des deux pays ont-elles été exposées et les identifiants financiers ou de compte mentionnés dans les allégations sont-ils authentiques ? Pathao n’a annoncé aucune date pour la fin de l’enquête, la publication de ses conclusions ou sa prochaine mise à jour.

La promesse de l’entreprise de communiquer des informations vérifiées souligne une distinction que les utilisateurs doivent garder à l’esprit. Le vol de certaines données personnelles est confirmé. L’allégation d’un ensemble de données de 133 gigaoctets contenant plus de 19 millions de comptes ainsi que de nombreuses pièces d’identité et informations financières ne l’est pas.

À retenir

• Pathao a confirmé que des attaquants avaient obtenu des noms, des adresses e-mail et des numéros de téléphone lors de l’incident du 4 octobre.
• Les activités au Bangladesh et au Népal ont été perturbées ; certains utilisateurs pourraient rencontrer des problèmes intermittents pendant la stabilisation des services.
• Les allégations portant sur 133 gigaoctets, 19 063 918 comptes et environ 250 millions de lignes de base de données restent non vérifiées.
• Pathao n’a pas confirmé l’exposition présumée de mots de passe, de pièces d’identité, de données de localisation ou d’informations financières.
• La demande rapportée de 400 000 USDT et le délai de 24 heures n’ont pas été confirmés par l’entreprise.
• Des spécialistes externes en cybersécurité participent à l’enquête, les autorités compétentes ont été informées et aucune date de fin d’enquête n’a été annoncée.
• Les utilisateurs ont été mis en garde contre les sollicitations inattendues et priés de ne jamais communiquer leurs mots de passe, codes PIN ou OTP.