Robinhood a révélé lundi une faille de sécurité affectant environ 7 millions de clients, soit environ un tiers de sa base d’utilisateurs, qui a entraîné un accès non autorisé à des informations personnelles par un acteur menaçant non identifié.

La plateforme de négociation et d’investissement d’actions sans commission a déclaré que l’incident s’était produit « tard dans la soirée du 3 novembre », ajoutant qu’elle était en train d’informer les utilisateurs concernés.

« Sur la base de notre enquête, l’attaque a été contenue et nous pensons qu’aucun numéro de sécurité sociale, numéro de compte bancaire ou numéro de carte de débit n’a été divulgué et qu’il n’y a eu aucune perte financière pour aucun client à la suite de l’incident », Société financière de la Silicon Valley c’est noté.

Le tiers malveillant aurait socialement conçu un représentant du service client pour accéder aux systèmes d’assistance internes, l’utilisant pour obtenir les adresses e-mail de cinq millions d’utilisateurs, les noms complets d’un groupe différent d’environ deux millions de personnes et des informations supplémentaires. tels que les noms, les dates de naissance et les codes postaux pour un nombre limité de 310 utilisateurs supplémentaires.

Parmi ces derniers, au moins 10 clients ont vu leurs « détails détaillés de compte » révélés. Cependant, la société n’a pas fourni d’autres détails sur ces détails « extensifs ».

Mais une fois la violation maîtrisée, Robinhood a déclaré que l’infiltré avait exigé un paiement d’extorsion en échange des données volées, ce qui a incité l’entreprise à impliquer les autorités chargées de l’application des lois dans l’affaire. Il n’est pas immédiatement clair si les demandes de rançon ont été satisfaites et, dans l’affirmative, combien d’argent a été impliqué.

Fait intéressant, la liste des adresses e-mail a également comprend comptes qui ont été préalablement désactivés. D’après Robinhood termes, cela est fait « parce que règlements nous obligent à conserver certains livres et registres. »

« Nous prenons la sécurité de toutes les données collectées très au sérieux, et nous n’avons pas l’intention d’utiliser ces données pour autre chose que le respect de nos exigences réglementaires », indique la société dans une page d’assistance. À la suite de la violation, Robinhood recommande aux utilisateurs de visiter le Centre d’aide > Mon compte et connexion > Sécurité du compte pour sécuriser leurs comptes avec une authentification à deux facteurs.