Une attaque de phishing contre le prestataire de retraite australien Spirit Super a entraîné la compromission de « certains détails personnels ».

Le « super fonds » confirmé que les données de l’utilisateur ont été violées le 19 mai 2022 après l’accès au compte de messagerie d’un employé.

Une enquête sur l’incident a révélé qu’il y avait eu « un accès non autorisé à une boîte aux lettres contenant des données personnelles » qui comprend des noms et d’autres informations sensibles. Esprit Super a dit environ 50 000 personnes sont affectés.

Spirit Super gère 26 milliards de dollars de fonds pour le compte de 325 000 membres à travers l’Australie.

Données exposées

Un communiqué de presse de la société basée en Tasmanie se lit comme suit: «Les données personnelles qui peuvent avoir été compromises sont similaires à certaines informations fournies dans un relevé annuel, y compris les noms, adresses, âges (en 2019 et 2020), adresses e-mail, numéros de téléphone , les numéros de compte des membres et les soldes des membres (en 2019 et 2020).

« Il est important de noter que ces données N’INCLUENT PAS les dates de naissance, les numéros d’identification du gouvernement (tels que les numéros de dossier fiscal ou les détails du permis de conduire), ni aucun détail de compte bancaire. »

A NE PAS MANQUER Le marché volatil des données de cartes de crédit volées secoué par les sanctions contre la Russie

Spirit Super a déclaré qu’il ne croyait pas que l’attaque était ciblée, mais plutôt qu’elle avait été « prise » dans une campagne de phishing généralisée.

Le super fonds a détaillé : « En bref, il s’agissait d’une erreur humaine lors d’une attaque malveillante par e-mail se faisant passer pour une correspondance officielle. Ce n’était pas le résultat d’une faiblesse matérielle du contrôle de sécurité ou d’une défaillance technologique. L’e-mail malveillant a compromis le mot de passe d’un membre du personnel. »

La boîte aux lettres de la victime a été compromise malgré le déploiement de l’authentification multi-facteurs (MFA), a déclaré Spirit Super.

« Nous avons une équipe interne qualifiée axée sur la cybersécurité et la protection de vos informations », a-t-il ajouté. « Cette équipe a détecté le compte compromis et a agi rapidement pour contenir et limiter l’impact de la violation. Aucun autre compte ou système n’a été impacté.

Mise à niveau de sécurité

Spirit Super a déclaré qu’il entreprenait une enquête approfondie pour évaluer l’impact de l’incident, y compris l’examen de l’activité des comptes et la mise en place de contrôles renforcés sur les comptes.

Les autorités compétentes ont été informées, y compris le commissaire à la protection de la vie privée, et Spirit Super a déclaré qu’il prenait « des précautions immédiates pour renforcer davantage notre sécurité informatique et réduire les risques futurs de cyberincidents ».

Toute personne touchée par la violation a été informée, a déclaré Spirit Super. Les utilisateurs qui n’ont pas reçu de correspondance ne sont pas censés avoir été touchés.

« Nous n’avons aucune preuve suggérant que vos informations et l’ensemble plus large des données des membres ont été consultées intentionnellement », a conclu Spirit Super.

« Tout ce que nous savons, c’est que le compte de messagerie a été compromis et que, dans cette boîte aux lettres, ces données étaient disponibles. L’attaquant peut ne pas être au courant de l’ensemble de données.

« Pour cette raison, nous recommandons de limiter toute activité susceptible d’attirer l’attention sur l’inclusion de vos informations dans l’ensemble de données, comme la publication sur les réseaux sociaux. »