560 millions de clients Ticketmaster piratés : le géant mondial de la vente de billets dans la tourmente

Alexandre Boero
Par Alexandre Boero, Journaliste-reporter, chargé de l'actu.
Publié le 30 mai 2024 à 17h01
Sur le site de Ticketmaster © Alexandre Boero / Clubic
Sur le site de Ticketmaster © Alexandre Boero / Clubic

La plateforme de réservation de billets pour les spectacles et événements Ticketmaster a semble-t-il été piratée. Un groupe de cybercriminels revendique avoir récupéré les données de 560 millions de clients. Une fuite historique.

Nous sommes peut-être les témoins de l'écriture d'une des plus sombres pages de l'histoire du piratage informatique. Les autorités australiennes ont, jeudi, reçu une proposition d'aide du FBI, après la revendication, par le groupe de cybercriminels ShinyHunters, du piratage de Ticketmaster. Le mastodonte mondial de la réservation de billets en ligne aurait, selon les hackers, laisser échapper une base de données de 560 millions de clients, réparties sur une période de 13 ans.

Des données bancaires de clients de Ticketmaster compromises

Considérer cette fuite comme monumentale n'a rien d'exagéré. C'est sur un forum d'achat et de revente de données bien connu des pirates informatiques que le groupe ShinyHunters a revendiqué l'attaque. Le collectif, qui avait revendu à prix d'or les données de multiples entreprises en 2020, a mis en vente le fichier de 1,3 To (1 300 Go) pour 500 000 dollars, achetable une seule et unique fois.

Alors quelles données ont, selon les pirates, été dérobées et mises en vente ? D'après ShinyHunters, la fuite comporterait des informations personnelles assez classiques (nom, adresse postale, adresse électronique, numéro de téléphone), des informations sur les billets achetés ou les événements associés.

Plus inquiétant en revanche, Ticketmaster aurait laissé filer de nombreuses coordonnées bancaires, appartenant aux clients de la plateforme, qui a pignon sur rue pour les ventes de billets d'événements, concerts, rencontres sportives et autres.

Une fuite de données étendue sur 13 ans !

On retrouverait ainsi les quatre derniers numéros de chaque carte compromise, la date d'expiration mais aussi le type de carte bancaire. Les pirates affirment disposer d'autres informations des utilisateurs, toujours liées aux transactions financières.

Les données piratées s'étendraient sur une période assez exceptionnelle, plus précisément de 2011 à 2024. Il est important de préciser que si les données ont été mises en vente par ShinyHunters, le groupe ne serait pas directement à l'origine de la cyberattaque.

Alors que les autorités australiennes et américaines enquêtent, nous faisons face ici à « l'une des violations de données bancaires les plus importantes de l'histoire », comme le reconnaît le hacker éthique Clément Domingo. Si officiellement, on ne sait pas si des utilisateurs français sont touchés, cela ne fait, officieusement, aucun doute. Prudence est donc de mise, plus que jamais !

Meilleur antivirus, le comparatif en juin 2024
A découvrir
Meilleur antivirus, le comparatif en juin 2024

04 juin 2024 à 17h42

Comparatifs services
Par Alexandre Boero
Journaliste-reporter, chargé de l'actu

Journaliste, chargé de l'actualité de Clubic. En soutien direct du rédacteur en chef, je suis aussi le reporter et le vidéaste de la bande. Journaliste de formation, j'ai fait mes gammes à l'EJCAM, école reconnue par la profession, où j'ai bouclé mon Master avec une mention « Bien » et un mémoire sur les médias en poche.

Vous êtes un utilisateur de Google Actualités ou de WhatsApp ?
Suivez-nous pour ne rien rater de l'actu tech !

A découvrir en vidéo

Commentaires (0)
Rejoignez la communauté Clubic
Rejoignez la communauté des passionnés de nouvelles technologies. Venez partager votre passion et débattre de l’actualité avec nos membres qui s’entraident et partagent leur expertise quotidiennement.
Commentaires (10)
norwy

« Ca arrive ma ptite dame », direz-vous. Mais, n’empêche, quels bandes de boulets !

Quand on EXIGE les données personnelles de ses membres, la sécurité doit passer en numéro 1. Hors, ici, ce n’était visiblement pas le cas…

Une possibilité de condamnation pour négligence devrait être débattue. On ne peut pas juste accuser les méchants pirates sans analyser les défaillances continues des responsables de ce site.

dredd

Ça va, le nombre a l’air assez limité.

Mimi9

Question sémantique : 560M de clients se sont fait pirater ou les données de 560M de clients ont été piratées à une plateforme ? Le titre m’est ambiguë :thinking::thinking:

kast_or

Le plus chaud c’est quand même les données bancaires.
Quand tu commences à stocker ce genre d’information c’est vraiment que t’es sacrément sûr de toi.
En général c’est le genre de chose déléguée à la banque partenaire. Mais quand tu brasses des millions tu dois être tenté de le faire toi même histoire de faire des petites économies…

e_garfield

Pas sûr, c’est le genre de site où tu peux stocker tes infos de cartes pour « gagner du temps ». Je pense que ça reste chez eux…

peper_1_1

Je me permets de modérer ton propos…
Il est normal qu’ils « exigent » des données personnelles afin de rendre le service (billet nominatifs, informations de paiement, numero de tel ou email pour contacter le client, eventuellement adresse de livraison, …)
On ne sais pas comment les méchants pirates s’y sont pris… avec un 0 Day, y’a pas énormément de choses à faire. Peut-être que la sécurité était une de leur préoccupation première… on ne sait pas encore.
En Europe (rgpd), le concept de négligence (ou de manque d’investissement) existe (et augmente l’amende).
Bref, il est trop tôt pour crier au scandale, il n’y a pas encore assez d’infos pour ça.

bizbiz

Ils ont osé toucher à la tirelire de Taylor Swift :grimacing: ?

Muuuhahahaha !!!

:grin:

Bombing_Basta

0 day qui a duré 13 ans…
13 ans pendant lesquelles aucun admin n’a vu que des mecs se balladaient sur leurs serveurs en mode pillage…

mcbenny

Merci pour l’info, j’ai été changer mon mot de passe immédiatement, mais aucune info sur le site concernant le moindre problème

kast_or

J suis pas un expert dans le domaine, mais l’un n’empêche pas l’autre.

Tu as des solutions de paiement certifiées aux normes PSI DSS (genre Sips d’Atos) qiu gère le paiement / garantie sur fraude etc…

Elles te permettent de faire aussi des paiements « one click » (sans avoir à ressaisir tes coordonnées). Une fois le paiement fait et si l’utilisateur l’accepte, la plateforme de paiement retourne un « token » qui permet au site commercant de faire des paiement automatiques avec. => Le site ne connait jamais le numéro de CB (ou juste les 4 premiers chiffres)