Les clients et les courriers de Glovo ont vu leurs données menacées dans une cyberattaque confirmée par le rival d’Amazon à 2 milliards de dollars.
Evgen Kotenko / Ukrinform / Barcroft Media via Getty Images
Un cybercriminel a réussi à s’introduire dans la start-up espagnole de livraison Glovo, d’une valeur de 2 milliards de dollars. Le pirate informatique vendait l’accès aux comptes clients et de messagerie, avec la possibilité de changer leurs mots de passe, bien que la société ait insisté sur Forbes qu’aucune donnée de carte de crédit n’a été volée.
Cela vient juste un mois après que Glovo, qui vise à devenir l’Amazonie de l’Europe, un rival également capable de tout livrer, a annoncé un énorme tour de table de 530 millions de dollars, portant son financement global à plus d’un milliard de dollars et renforçant les plans visant à rendre l’entreprise publique dans le quelques années à venir.
Forbes a été alerté de la violation par Alex Holden, directeur de la technologie et fondateur de Hold Security, qui suit les pirates malveillants dans les coins les plus sombres du Web. Il a découvert des captures d’écran et des vidéos d’un pirate informatique montrant l’accès aux ordinateurs utilisés pour gérer les comptes Glovo. Après les avoir transmis à Forbes, et l’un des utilisateurs concernés a confirmé être membre de Glovo, la violation a été divulguée à la société jeudi. Lundi, Glovo a confirmé le piratage, affirmant qu’il avait résolu le problème, alors même que le pirate informatique continuait de vendre l’accès aux systèmes informatiques de la startup.
«Le 29 avril, nous avons été mis au courant d’un accès non autorisé par un acteur tiers malveillant à l’un de nos systèmes», a déclaré un porte-parole.
«L’acteur impliqué a pu y accéder via une ancienne interface de panneau d’administration. Dès que nous avons découvert cette activité suspecte, nous avons pris des mesures immédiates pour bloquer tout accès ultérieur du tiers non autorisé et avons mis en place des mesures supplémentaires pour sécuriser notre plateforme.
« Pendant que nous enquêtons actuellement plus avant, nous pouvons confirmer qu’aucune donnée de carte client n’a été consultée, car nous ne conservons ni ne stockons ces informations. »
La société a contacté l’Agencia Española de Protección de Datos (AEPD), l’autorité espagnole de protection des données. «Nous leur fournirons toutes les informations dont ils ont besoin pour leur enquête.» Le porte-parole de Glovo a ajouté qu’ils ne pouvaient plus divulguer d’informations sur la nature de la violation ou les types de données qu’ils pensent avoir été compromises à la suite du piratage.
Holden a dit Forbes il craignait qu’à partir de lundi, le pirate informatique promettait toujours aux acheteurs d’accéder aux systèmes et aux données de Glovo, et que les informations ne semblaient pas être cryptées pour tout étranger susceptible de s’introduire par effraction. ) et les numéros d’identification fiscale ont été exposés.
Un porte-parole de Glovo a déclaré que les données n’étaient «accessibles que via une connexion réussie par un compte disposant d’autorisations suffisantes. Toutes les données personnelles au repos dans nos systèmes sont cryptées. »
Ils ont ajouté que la société avait bloqué l’accès au système affecté vendredi matin, après avoir été placé derrière le pare-feu. «En conséquence, le système n’est plus accessible. Nous avons ensuite entrepris une analyse des logs pour rechercher les signes d’une fuite de données et pour évaluer le volume potentiel d’une telle fuite. Nous avons trouvé des preuves d’accès non autorisé au système, confirmant la présence du pirate informatique, mais nous n’avons trouvé aucune preuve pour confirmer une exportation de données. »
«Pendant la pandémie, la livraison de nourriture, d’épicerie et de médicaments est essentielle pour beaucoup. Par conséquent, cette brèche est bien pire qu’elle ne l’aurait été auparavant », a ajouté Holden.
«De nombreux angles de fraude et d’abus peuvent découler de ces données, mais peut-être, plus important encore, une violation massive de la vie privée des clients et des coursiers.»