Une violation de données survenue en mai 2024 et révélée par la chaîne américaine de détaillants de luxe et de grands magasins Neiman Marcus le mois dernier a exposé plus de 31 millions d'adresses e-mail de clients, selon le fondateur de Have I Been Pwned, Troy Hunt, qui a analysé les données volées.

Les conclusions de Hunt interviennent après que la société a déposé une notification de violation auprès du bureau du procureur général du Maine, indiquant que la violation n'avait affecté que 64 472 personnes.

Dans une notification d'incident distincte publiée sur son site Web, Neiman Marcus a révélé que les données exposées lors de l'attaque comprenaient des noms, des informations de contact (par exemple, des adresses e-mail et postales et des numéros de téléphone), des dates de naissance, des informations sur les cartes-cadeaux, des données de transaction, des numéros de carte de crédit partiels (sans dates d'expiration ni CVV) et de sécurité sociale, ainsi que des numéros d'identification des employés.

En analysant les données volées lors de la violation, Hunt a trouvé 30 millions d'adresses e-mail uniques et a déclaré à BleepingComputer qu'il avait également confirmé auprès de plusieurs personnes dont les données figuraient dans la base de données volée que les informations étaient légitimes.

« C'est évidemment un nombre important et je souhaite leur envoyer des notifications rapidement. Le nombre total d'adresses uniques auxquelles je ferai référence est de 31 152 842 », a déclaré Hunt à BleepingComputer.

Il a déclaré qu'environ 105 000 abonnés à Have I Been Pwned trouvés dans l'ensemble de données recevront un e-mail les informant de cette violation massive de données.

Lorsque BleepingComputer a contacté un porte-parole de Neiman Marcus pour confirmer les conclusions de Hunt, celui-ci a refusé de commenter. Au lieu de cela, ils nous ont renvoyé à la notification de sécurité des données publiée sur le site Web de la société et ont déclaré que les 64 472 personnes mentionnées dans le dossier du Maine sont celles qui ont reçu des notifications de violation de données.

Données volées lors d'une attaque de vol de données Snowflake

En juin, après avoir révélé la violation de données, Neiman Marcus a également lié l'incident aux attaques de vol de données de Snowflake dans une déclaration à BleepingComputer.

« Neiman Marcus Group (NMG) a récemment appris qu'une partie non autorisée avait eu accès à une plate-forme de base de données cloud utilisée par NMG et fournie par un tiers, Snowflake », a déclaré la société à BleepingComputer.

La divulgation et les notifications de violation de données sont intervenues après qu'un acteur malveillant utilisant le pseudo « Sp1d3r » a mis en vente les données de Neiman Marcus sur un forum de piratage informatique, demandant 150 000 $ pour 12 millions de numéros de cartes-cadeaux, 70 millions de transactions avec les coordonnées complètes des clients et 6 milliards de lignes de dossiers d'achats de clients, d'informations sur les magasins et de données sur les employés.

Alors que l'acteur malveillant a d'abord déclaré que l'entreprise refusait de payer une demande d'extorsion, il a ensuite supprimé le message du forum et l'échantillon de données, laissant entendre que l'entreprise avait peut-être commencé à négocier.

Une enquête conjointe menée par SnowFlake, Mandiant et CrowdStrike a révélé qu'un acteur de menace motivé par des raisons financières, identifié sous le nom d'UNC5537, a utilisé des informations d'identification client volées pour cibler au moins 165 organisations qui n'ont pas configuré la protection d'authentification multifacteur (MFA) sur leurs comptes SnowFlake.

Les violations récentes liées à ces attaques, qui ont débuté en mai 2024, incluent Ticketmaster, Santander, Pure Storage, Assistant de devis/LendingTreeAdvance Auto Parts et Los Angeles Unified.