OVH piraté, la base de données des clients Europe exposée

Les données personnelles des clients européens de l'hébergeur ont été compromises. Les identifiants vont devoir être changés, mais les informations bancaires n'ont pas été exposées.

OVH vient d'être victime d'un piratage. "La sécurité de notre réseau interne dans nos bureaux à Roubaix a été compromise", annonce aujourd'hui l'hébergeur. Il semble, après investigation, que le  pirate ait pu récupérer la base de données des clients européens. Cette dernière comporte des "informations personnelles de clients : le nom, le prénom, le nic, l'adresse, la ville, le pays, le téléphone, le fax et le mot de passe chiffré."

Le chiffrement (via SHA-2) des mots de passe est robuste, et le casser nécessite des moyens conséquents, "mais il reste possible", préfère prévenir OVH. C'est pourquoi les identifiants devront être changés. L'hébergeur indique que des e-mails seront envoyés afin de prévenir les clients concernés.

Du côtés des informations bancaires, rien n'est stocké chez OVH, comme le recommande la certification PCI-DSS, et donc, promet l'hébergeur, "les informations sur les cartes bancaires n'ont été ni consultées ni copiées."

OVH explique que le pirate a réussi à obtenir les accès d'un compte de messagerie d'un des administrateurs système, ce qui lui a ouvert les portes d'un VPN, puis du backoffice interne. Suite à cet incident, l'hébergeur annonce avoir renforcé ses règles de sécurité en interne, notamment celles permettant d'accéder aux e-mails internes. Les mots de passe des employés ont été régénérés. Un nouveau VPN "dans une salle sécurisée PCI-DSS avec des accès très restreints" a été mis en place, et un token matériel sera désormais requis.