Une ancienne employée d’Amazon âgée de 36 ans a été reconnue coupable de fraude électronique et d’intrusions informatiques aux États-Unis pour son rôle dans le vol de données personnelles de pas moins de 100 millions de personnes lors de la violation de Capital One en 2019.
Paige Thompson, qui opérait sous le pseudonyme en ligne « erratic » et travaillait pour le géant de la technologie jusqu’en 2016, a été reconnue coupable de fraude électronique, de cinq chefs d’accès non autorisé à un ordinateur protégé et d’endommagement d’un ordinateur protégé.
Au cours du procès de sept jours, le jury l’a acquittée d’autres chefs d’accusation, notamment de fraude sur les dispositifs d’accès et d’usurpation d’identité aggravée. Elle doit être condamnée le 15 septembre 2022. Cumulativement, les infractions sont passibles d’une peine pouvant aller jusqu’à 25 ans de prison.
« Mme Thompson a utilisé ses compétences en piratage pour voler les informations personnelles de plus de 100 millions de personnes et a piraté des serveurs informatiques pour exploiter la crypto-monnaie », a dit L’avocat américain Nick Brown. « Loin d’être une hacker éthique essayant d’aider les entreprises dans leur sécurité informatique, elle a exploité les erreurs pour voler des données précieuses et a cherché à s’enrichir. »
La incident, qui a été révélé en juillet 2019, impliquait que le défendeur s’introduisait dans les systèmes informatiques en nuage d’Amazon et volait les renseignements personnels d’environ 100 millions de personnes aux États-Unis et de six millions au Canada. Il s’agissait de noms, dates de naissance, numéros de sécurité sociale, adresses e-mail et numéros de téléphone.
Cela a été rendu possible en développant un outil personnalisé pour rechercher des instances Amazon Web Services (AWS) mal configurées, permettant à Thompson de siphonner des données sensibles appartenant à plus de 30 entités, en comptant Capital One, et d’implanter un logiciel d’extraction de crypto-monnaie dans les serveurs illégalement consultés pour frapper illégalement fonds numériques.
En outre, le pirate informatique a laissé une trace en ligne à suivre par les enquêteurs alors qu’elle se vantait de ses activités illicites auprès d’autres personnes via des SMS et des forums en ligne, a noté le ministère de la Justice. Les données ont également été publiées sur une page GitHub accessible au public.
« Elle voulait des données, elle voulait de l’argent et elle voulait se vanter », a déclaré le procureur adjoint américain Andrew Friedman au jury lors des plaidoiries finales, selon un communiqué de presse du ministère de la Justice.
Capital One a été condamné à une amende de 80 millions de dollars par le Bureau du contrôleur de la monnaie (OCC) en août 2020 pour avoir omis d’établir des mesures de gestion des risques appropriées avant de migrer ses opérations informatiques vers un service public basé sur le cloud. En décembre 2021, il a accepté de payer 190 millions de dollars pour régler un recours collectif pour le piratage.
