Western Digital a été piraté et l'annonce à ses clients

La société Western Digital, spécialisée dans le stockage, est bien dans la tourmente. Alors qu'une partie des services en ligne a été débranchée en avril, elle vient d'envoyer un message à ses clients¹ : des données personnelles ont été piratées.

Des données récupérées

Nous en parlions début avril, la société a fermé une partie de ses services en ligne, et l'accès n'a été remis en place que le 12 avril. Dans le message envoyé le 6 mai (et daté du 5 mai) aux clients de sa boutique en ligne, la marque explique que dès que l'incident arrivé en mars a été détecté, les services ont été arrêtés.

Pour les clients de la boutique en ligne, le message explique que plusieurs données ont été récupérées par les malandrins. On trouve le nom des clients, les adresses d'expédition et de facturation, les adresses e-mail et les numéros de téléphone. Le message indique que les mots de passe étaient stockés dans une base chiffrée, avec des données hachées et salées. De même, les numéros des cartes de paiement étaient enregistrés de la même façon. La marque parle de « numéros partiels », probablement car elle n'enregistre pas le CVV (les trois chiffres de validations).

Pour rappel, le hachage consiste à utiliser un algorithme qui n'est normalement pas réversible pour créer une empreinte des données et de stocker uniquement le résultat. Au moment de la vérification, le site applique le même algorithme au mot de passe de l'utilisateur pour vérifier si le résultat est le même. Le salage, lui, consiste à ajouter des données (idéalement aléatoires) à chaque mot de passe pour éviter une attaque qui emploie des failles dans les algorithmes de hachage ou les attaques par force brute quand l'algorithme est connu.

Enfin, le message indique que la boutique a été fermée et qu'elle devrait être accessible dès le 8 mai. Mais dans la matinée du 9 mai, elle n'est toujours pas remise en ligne.

Méfiez-vous

Le message de Western Digital explique enfin qu'il faut évidemment se méfier des attaques possibles. Même si la marque ne l'indique pas explicitement, il faut s'attendre à des messages ciblés qui profitent du nom Western Digital. Et si vous avez utilisé le mot de passe choisi sur la boutique sur d'autres sites, nous vous conseillons vraiment d'aller les changer.