Un fournisseur de télécommunications opérant en Lettonie a exposé plus de 125 millions de messages texte via une base de données non sécurisée, compromettant potentiellement des communications sensibles provenant de banques, prestataires de soins de santé, distributeurs et institutions publiques à travers les États baltes. Les dossiers comprenaient des codes d’authentification, des transactions financières, des informations médicales et des coordonnées personnelles.
Cette exposition concernait CSCTelecom, une société fournissant des services de messagerie professionnelle à des organisations en Lettonie, en Lituanie et en Estonie. Les chercheurs en sécurité ont découvert la base de données ClickHouse accessible au public le 28 septembre 2026, trouvant des documents allant d’octobre 2022 à septembre 2026.
Contrairement à une fuite de données historique ordinaire, la base de données recevait de nouveaux messages en temps réel. Plus de trois millions de messages SMS avaient été traités rien qu’en septembre, ce qui signifiait que toute personne ayant accès pouvait potentiellement surveiller les communications entrantes au fur et à mesure de leur transmission.
Les informations exposées comprenaient les numéros de téléphone des destinataires, le contenu complet des messages, les horodatages d’envoi, les noms des organisations clients et les détails du routage du réseau mobile. Certains enregistrements contenaient également les coûts de livraison des messages et d’autres métadonnées opérationnelles.
Parmi les organisations concernées figuraient les opérations lettones de Swedbank et SEB. Les messages associés à Swedbank contenaient des numéros de compte bancaire, des montants de transactions, des bénéficiaires des paiements, des soldes restants et des détails identifiant certains achats.
D’autres communications exposées comprenaient des codes d’authentification à usage unique, des mots de passe temporaires et des messages de vérification de compte. De telles informations pourraient potentiellement permettre aux criminels d’accéder à des comptes en ligne s’ils interceptaient des codes valides lors de l’initiation ou de l’exploitation d’un processus d’authentification.
La base de données contenait également des messages associés au service d’urgence letton 112, incluant des numéros de téléphone et des détails d’incident. Des assureurs tels qu’ERGO et Compensa étaient représentés, certaines communications révélant des informations liées aux polices, des numéros d’immatriculation de véhicules et des montants de factures.
Plusieurs entreprises lituaniennes figuraient dans les dossiers exposés, notamment IKI, Akropolis, PerlasGo, Autoplius et EuroCash. Les informations allaient des codes de vérification clients et mises à jour d’achat aux notifications de sécurité concernant des biens protégés.
Les messages liés aux voyages d’airBaltic contenaient les coordonnées des passagers, les informations de vol et les noms de famille. Des organisations de santé, y compris des cliniques dentaires lituaniennes, ont également été concernées, certains dossiers révélant des informations sur les examens médicaux et des communications liées aux rendez-vous.
L’incident soulève des préoccupations qui dépassent la simple exposition immédiate de messages individuels. Combiner plusieurs années de communications associées à un seul numéro de téléphone peut révéler les relations bancaires, les habitudes d’achat, les arrangements de voyage, les interactions médicales et la situation financière d’une personne.
Les chercheurs ont également averti que la nature en temps réel de cette exposition créait des opportunités de prise de contrôle de compte. Les criminels surveillant les codes d’authentification entrants ou les liens de réinitialisation de mot de passe pourraient potentiellement les exploiter avant que leurs destinataires aient terminé les procédures de sécurité pertinentes.
Les chercheurs ont informé CSCTelecom de la base de données exposée le 29 septembre. Ils ont ensuite confirmé que l’accès public avait été fermé le 27 octobre, près d’un mois après la découverte initiale.
Cependant, l’enquête n’a pas établi si des acteurs malveillants ont accédé ou téléchargé les informations avant que la base de données ne soit sécurisée. Il n’existe actuellement aucune preuve confirmée que les messages exposés aient été utilisés pour compromettre les comptes clients.
L’incident soulève également des questions sur la raison pour laquelle le fournisseur de messagerie a conservé des années de communications contenant des informations personnelles sensibles. Selon les règles européennes de protection des données, les organisations doivent limiter la conservation des données personnelles à des périodes justifiées par des fins de traitement légitimes.