Il a gagné environ 1 500 dollars. La marchandise, c'était les relevés d'appels de 100 millions de personnes.
Un ancien soldat de l'armée américaine de 22 ans a été condamné à Seattle le 25 septembre à 70 mois de prison fédérale et au versement de 294 978 dollars de dédommagement. Cameron John Wagenius, connu en ligne sous le pseudonyme kiberphant0m, a plaidé coupable de complot en vue de commettre une fraude électronique, d'extorsion liée à la fraude informatique, de vol d'identité aggravé et de deux chefs de transfert illégal de relevés téléphoniques confidentiels.
Le ministère de la Justice indique que lui et ses complices ont visé au moins dix organisations entre avril 2023 et décembre 2024, en grande partie pendant qu'il était en service actif, et qu'ils ont tenté d'extorquer au moins un million de dollars. Krebs on Security rapporte que le butin comprenait les métadonnées d'appels et de messages de plus de 100 millions de clients d'AT&T : qui a appelé qui, quand, et pendant combien de temps. Wagenius a tiré environ 1 500 dollars de la vente de données de cette ampleur.
L'intrusion n'avait rien de brillant. Le groupe a lancé un outil de devinette d'identifiants appelé SSH Brute, puis est entré dans des comptes de stockage cloud sur lesquels aucun second facteur n'était activé. Pas de faille inédite, pas de génie. Juste des identifiants qui fonctionnaient, sur des comptes que personne n'avait pris la peine de verrouiller correctement.
Vous ne pouvez pas obliger un opérateur téléphonique à activer la double authentification, et rien de tout cela n'est de votre faute. Ce que vous contrôlez, c'est la même faiblesse sur vos propres comptes, car les criminels qui achètent ces données s'en servent pour paraître crédibles au téléphone. Si quelqu'un vous appelle en se faisant passer pour votre banque et connaît un numéro que vous avez appelé la semaine dernière, cela ne prouve rien. Raccrochez et rappelez le numéro imprimé sur votre carte. La vérification de la confidentialité et des comptes de Tendvane passe en revue les identifiants enregistrés sur votre PC et les paramètres de compte associés, pour que vous voyiez où un simple mot de passe fait tout le travail à lui seul.