La violation de données Fractal ID affecte 6 300 utilisateurs et expose les contrôles KYC

La plateforme d'identité blockchain Fractal ID a révélé une violation de données importante le 14 juillet 2024. Initialement, la violation remontait à un incident survenu en 2022 au cours duquel un employé avait réutilisé un mot de passe compromis.

A significant data breach at blockchain identity platform Fractal ID has been traced back to a 2022 incident where an employee reused a compromised password, leading to the theft of user data, the company announced on July 14, 2024.

Une violation de données importante sur la plate-forme d'identité blockchain Fractal ID remonte à un incident survenu en 2022 au cours duquel un employé a réutilisé un mot de passe compromis, conduisant au vol de données utilisateur, a annoncé la société le 14 juillet 2024.

The compromised account belonged to a long-time operator with admin rights, which allowed the attacker to bypass internal data privacy systems. However, system monitoring helped lock out the attacker within 29 minutes.

Le compte compromis appartenait à un opérateur de longue date disposant de droits d'administrateur, ce qui permettait à l'attaquant de contourner les systèmes internes de confidentialité des données. Cependant, la surveillance du système a permis de bloquer l'attaquant en 29 minutes.

“The attacker was able to gain access to a back office system, which contained a database of our users,” Fractal ID stated in a postmortem report.

"L'attaquant a pu accéder à un système de back-office, qui contenait une base de données de nos utilisateurs", a déclaré Fractal ID dans un rapport post-mortem.

The company added that the attacker did not gain access to any critical systems or the main user database, and all user funds and crypto assets remained safe.

La société a ajouté que l’attaquant n’avait accès à aucun système critique ni à la base de données principale des utilisateurs, et que tous les fonds des utilisateurs et les actifs cryptographiques restaient en sécurité.

The stolen data included proof-of-personhood checks, complete KYC checks, names, email addresses, phone numbers, wallet addresses, physical addresses, and images of uploaded documents. Fractal ID has directly contacted the affected users to inform them of the breach.

Les données volées comprenaient des contrôles de preuve de personnalité, des contrôles KYC complets, des noms, des adresses e-mail, des numéros de téléphone, des adresses de portefeuille, des adresses physiques et des images de documents téléchargés. Fractal ID a directement contacté les utilisateurs concernés pour les informer de la violation.

“We deeply regret this incident and are committed to protecting our users’ data. We will continue to work closely with the authorities and take all necessary steps to ensure the safety and security of our users,” the company stated.

« Nous regrettons profondément cet incident et nous nous engageons à protéger les données de nos utilisateurs. Nous continuerons à travailler en étroite collaboration avec les autorités et prendrons toutes les mesures nécessaires pour assurer la sûreté et la sécurité de nos utilisateurs », a déclaré la société.

The incident highlights the importance of following operational security policies and training, as the reuse of credentials from past hacks can lead to devastating consequences. Fractal ID’s failure to adhere to these policies allowed the attacker to exploit the company’s vulnerabilities.

L’incident souligne l’importance de suivre les politiques de sécurité opérationnelle et la formation, car la réutilisation des informations d’identification issues de piratages antérieurs peut avoir des conséquences dévastatrices. Le non-respect par Fractal ID de ces politiques a permis à l'attaquant d'exploiter les vulnérabilités de l'entreprise.

Fractal ID Takes Action After Data Breach, Enhances Security

Fractal ID prend des mesures après une violation de données et améliore la sécurité

Upon detecting unusual activity in its back office, Fractal ID quickly identified it as a malicious attack. This led to data exfiltration affecting approximately 0.5% of its user base. In response, the company disabled all accounts in the compromised system and limited access to senior employees.

Après avoir détecté une activité inhabituelle dans son back-office, Fractal ID l'a rapidement identifiée comme une attaque malveillante. Cela a conduit à une exfiltration de données affectant environ 0,5 % de sa base d’utilisateurs. En réponse, l’entreprise a désactivé tous les comptes du système compromis et limité l’accès aux employés seniors.

Fractal ID’s postmortem report highlighted several measures to prevent future incidents. These include implementing request throttling, finer-grained authorization, tighter monitoring of failed authentication attempts, and stricter IP control.

Le rapport post-mortem de Fractal ID a mis en évidence plusieurs mesures visant à prévenir de futurs incidents. Il s’agit notamment de la mise en œuvre d’une limitation des requêtes, d’une autorisation plus fine, d’une surveillance plus stricte des tentatives d’authentification échouées et d’un contrôle IP plus strict.

The company also contacted the pertinent data protection authorities and the cybercrime police division in Berlin.

L'entreprise a également contacté les autorités compétentes en matière de protection des données ainsi que la police de cybercriminalité de Berlin.

Fractal ID Breach Exposes User Data, Affects 6,300 Users

Une violation d'identité fractale expose les données des utilisateurs et affecte 6 300 utilisateurs

The breach impacted around 6,300 users, with stolen data ranging from proof-of-personhood checks to complete KYC checks. This includes names, email addresses, phone numbers, wallet addresses, physical addresses, and images of uploaded documents. Fractal ID has directly contacted affected users to inform them of the breach.

La violation a touché environ 6 300 utilisateurs, avec des données volées allant des contrôles de preuve de personnalité aux contrôles KYC complets. Cela inclut les noms, adresses e-mail, numéros de téléphone, adresses de portefeuille, adresses physiques et images de documents téléchargés. Fractal ID a directement contacté les utilisateurs concernés pour les informer de la violation.

Fractal ID co-founders Julian, Julio, Lluis, and Anna expressed regret over the incident. They emphasized their commitment to protecting user data and moving toward a self-custody storage system for enhanced security.

Les cofondateurs de Fractal ID, Julian, Julio, Lluis et Anna, ont exprimé leurs regrets face à l'incident. Ils ont souligné leur engagement à protéger les données des utilisateurs et à évoluer vers un système de stockage en libre-service pour une sécurité renforcée.

“We are deeply sorry for the inconvenience and distress this may have caused. We are committed to learning from this incident and making our platform even more secure,” the co-founders said in a joint statement.

« Nous sommes profondément désolés pour les désagréments et la détresse que cela a pu causer. Nous nous engageons à tirer les leçons de cet incident et à rendre notre plateforme encore plus sécurisée », ont déclaré les cofondateurs dans un communiqué commun.

Autix10, another crypto ID provider, revealed on June 27 that their online administrative login details were exposed. However, the attacker in that case did not gain access to any customer data.

Autix10, un autre fournisseur d'identification cryptographique, a révélé le 27 juin que ses informations de connexion administratives en ligne avaient été exposées. Cependant, dans ce cas, l’attaquant n’a eu accès à aucune donnée client.