Il est désormais confirmé que les coordonnées professionnelles de 122 millions de personnes en circulation depuis février 2024 ont été volées sur une plateforme de génération de demande B2B.

Les données proviennent de DemandScience (anciennement Pure Incubation), une société de génération de demande B2B qui regroupe les données.

L’agrégation de données est le processus de collecte, de compilation et d’organisation de données provenant de sources publiques afin de créer un ensemble de données complet précieux pour les spécialistes du marketing numérique et les annonceurs dans la création de « profils » riches utilisés pour générer des prospects ou des informations marketing.

Dans le cas de DemandScience, l’entreprise a collecté des données commerciales auprès de sources publiques et de tiers, notamment les noms complets, les adresses physiques, les adresses e-mail, les numéros de téléphone, les titres et fonctions de poste, ainsi que les liens vers les réseaux sociaux.

En février 2024, un acteur menaçant nommé « KryptonZambie » a commencé à vendre 132,8 millions d’enregistrements sur BreachForums, affirmant qu’ils avaient été volés sur un système exposé appartenant à Pure Incubation.

À l’époque, BleepingComputer avait contacté DemandScience au sujet des données prétendument volées et on lui avait répondu qu’il n’y avait aucune preuve d’une violation. Un e-mail de suivi demandant si les échantillons de données divulgués appartenaient à DemandScience est resté sans réponse.

« Sur la base du message que vous avez transmis depuis un forum sur la criminalité liée au piratage informatique, nous avons immédiatement activé nos protocoles de sécurité et de réponse aux incidents », a déclaré Derek Beckwith, directeur principal des communications d’entreprise, à BleepingComputer.

« Tous nos systèmes sont opérationnels à 100 % et nous n’avons trouvé aucune indication qu’un piratage ou une violation de l’un de nos systèmes ou données ait eu lieu (tous sont sécurisés derrière des systèmes de pare-feu/d’accès VPN/de contrôle d’accès/de détection d’intrusion). Nous sommes nous continuons à surveiller la situation, il ne serait donc pas approprié de nous étendre davantage à ce stade. »

Avance rapide jusqu’au 15 août 2024, et KryptonZambie a rendu l’ensemble de données disponible pour 8 crédits, ce qui correspond à seulement quelques dollars, divulguant essentiellement les données gratuitement.

Aujourd’hui, Troy Hunt a publié un article de blog confirmant que les données sont authentiques, indiquant qu’une personne exposée à la fuite a contacté DemandScience et s’est fait dire que les données divulguées provenaient d’un système qui avait été mis hors service il y a deux ans.

« Concernant le sujet évoqué dans votre e-mail, nous avons mené une enquête interne approfondie et concluons qu’aucun de nos systèmes opérationnels actuels n’a été exploité », lit-on dans un e-mail de DemandScience.

« Nous concluons également que les données divulguées provenaient d’un système mis hors service depuis environ deux ans. »

Hunt a confirmé les données d’autres personnes dans la fuite, y compris son propre dossier, qui contenait des données datant de l’époque où il travaillait chez Pfizer.

Les 122 millions d’adresses e-mail uniques de l’ensemble de données volées ont désormais été ajoutées à Have I Been Pwned, et les abonnés exposés recevront des notifications concernant la violation.