ShinyHunters a publié des données prétendument volées à la société américaine de vêtements Carhartt, avec une analyse des fichiers fuités indiquant que près de 13 millions de comptes ont été affectés.
Le groupe d’extorsion a revendiqué la responsabilité de l’attaque le 13 août, affirmant avoir obtenu plus de 50 Go de données. ShinyHunters a allégué que le matériel volé comprenait des informations sur les clients et les employés, des métadonnées clients et des dossiers internes de l’entreprise. Carhartt n’a pas confirmé publiquement les affirmations du groupe ni divulgué de détails sur l’incident.
Selon ShinyHunters, les assaillants ont exigé 3,3 millions de dollars à Carhartt. Le groupe a ensuite publié l’archive volée sur son site de fuite du dark web après que l’entreprise aurait refusé de poursuivre les négociations. ShinyHunters a partagé un message attribué à un négociateur de Carhartt affirmant que la société avait décidé de ne pas poursuivre les discussions.
La publication a permis aux chercheurs d’examiner le matériel volé plutôt que de se fier exclusivement à la description de la violation par les attaquants. Troy Hunt, fondateur de Have I Been Pwned, a analysé l’archive d’environ 50 Go et a relié l’incident à l’environnement analytique Databricks de Carhartt.
Hunt determined que la violation a touché plus de 12,9 millions de comptes Carhartt. Les informations trouvées dans le jeu de données comprenaient des adresses e-mail, des noms, des numéros de téléphone et des adresses physiques. Plus de 15 000 adresses e-mail utilisant le domaine corporatif @carhartt.com de Carhartt ont également été identifiées.
L’archive contenait en outre des millions de documents synthétiques qui ne correspondaient pas à de vraies personnes. Ces entrées ont été exclues lors du calcul du nombre de comptes concernés, ce qui illustre pourquoi les comptages bruts des dossiers de base de données ne représentent pas nécessairement le nombre réel d’individus impliqués dans une violation.
Plusieurs détails importants restent inconnus. Carhartt n’a pas expliqué comment les attaquants ont accédé, quand l’intrusion s’est produite, ni si des systèmes au-delà de l’environnement de données identifié ont été compromis. Il n’y a pas non plus de confirmation que des mots de passe ou des informations de cartes de paiement aient été exposés.
ShinyHunters a été lié à de nombreuses campagnes de vol de données et d’extorsion impliquant de grandes plateformes cloud et d’entreprise. Au cours de l’année écoulée, le groupe a été lié à des violations affectant les clients de Snowflake et les fournisseurs d’intégration tiers, tout en revendiquant également des attaques contre de nombreuses organisations utilisant des environnements Salesforce.
Plus récemment, ShinyHunters a revendiqué la responsabilité de violations impliquant plus de 100 organisations à la suite d’attaques exploitant une vulnérabilité zero-day d’Oracle PeopleSoft.
Pour les clients de Carhartt, la publication de noms, de coordonnées et d’adresses physiques pourrait augmenter l’exposition à des tentatives ciblées de phishing et d’usurpation d’identité. Cependant, le champ confirmé reste limité aux informations identifiées lors de l’analyse du jeu de données divulgué. D’autres détails sur l’intrusion et son impact global restent indisponibles tant que Carhartt ne fournira pas des informations supplémentaires.