L’incident de fuite de données de DigitalOcean a exposé les données de certains de ses clients

DigitalOcean, l’une des plus grandes plates-formes d’hébergement web modernes, a récemment connu un incident préoccupant de fuite de données qui a exposé les données de certains de ses clients à des tiers inconnus et non autorisés.

Bien que la société d’hébergement n’ait pas encore publié de déclaration publique, elle a commencé à avertir les clients concernés de l’étendue de la violation par le biais d’un courriel.

Selon le courriel de notification de la violation qui a touché les clients [1, 2] reçue, la fuite de données s’est produite par négligence, DigitalOcean ayant laissé « involontairement » un document interne accessible à l’Internet sans exiger de mot de passe.

« Ce document contenait votre adresse électronique et/ou votre nom de compte (le nom que vous avez donné à votre compte lors de l’inscription) ainsi que certaines données concernant votre compte qui peuvent avoir inclus le nombre de gouttelettes, l’utilisation de la bande passante, certaines notes de support ou de communication commerciale, et le montant que vous avez payé en 2018 », a déclaré la société dans le courriel d’avertissement comme indiqué ci-dessous.

Lors de la découverte, une enquête numérique rapide a révélé que le fichier exposé contenant les données des clients a été consulté par des tiers non autorisés au moins 15 fois avant que le document ne soit finalement retiré.

« Notre communauté est fondée sur la confiance, c’est pourquoi nous prenons des mesures pour que cela ne se reproduise plus. Nous formerons nos employés à la protection des données des clients, nous établirons de nouvelles procédures pour nous alerter plus rapidement des expositions potentielles et nous apporterons des modifications à la configuration pour éviter toute exposition future aux données », a ajouté l’entreprise.

À noter que cette violation spécifique n’indique pas que le site web de DigitalOcean a été compromis, ni que les identifiants de connexion des clients ont été divulgués aux attaquants.

Ainsi, si vous avez un compte auprès du service d’hébergement, vous n’avez pas à vous précipiter pour changer votre mot de passe. Toutefois, le service propose également une authentification à deux facteurs que chaque utilisateur doit activer pour ajouter une couche de sécurité supplémentaire à son compte.

Le Hacker New a contacté DigitalOcean pour lui demander un commentaire, et l’histoire sera mise à jour avec la réponse.

Mise à jour – Un porte-parole de la société a confirmé l’incident à The Hacker News et a fait une déclaration :

« Nous avions un document qui a été découvert pour être partagé publiquement et bien que nous soyons convaincus qu’il n’y a pas eu d’accès malveillant à ce document, nous avons informé nos clients par souci de transparence. Moins de 1 % de notre clientèle a été touchée, et les seules IIP incluses dans le dossier étaient le nom du compte et l’adresse électronique.

« Cela n’était pas lié à un acte de malveillance pour accéder à nos systèmes. Nos clients nous font confiance pour leurs données et nous pensons qu’une utilisation involontaire de ces données, aussi minime soit-elle, est une raison suffisante pour être transparent ».