Origin Energy, premier fournisseur d’énergie d’Australie avec 4,8 millions de clients, a confirmé le 23 juillet que des données de clients avaient été consultées et divulguées sans autorisation. L’entreprise ne sait pas encore combien de personnes sont concernées. Un pirate affirme de son côté en détenir 2 millions, un chiffre qu’Origin n’a pas confirmé.
Quelles données ont fuité
D’après la mise à jour d’Origin rapportée par BleepingComputer, les données exposées pour les clients touchés peuvent inclure :
- nom complet et adresse ;
- date de naissance ;
- numéro de téléphone ;
- informations de compte client ;
- les quatre derniers chiffres d’une carte bancaire ou les trois derniers chiffres d’un compte bancaire.
Origin souligne que ces informations financières sont incomplètes et ne permettent ni de prendre le contrôle d’un compte ni d’effectuer un paiement. Le fonctionnement de l’entreprise n’est pas affecté. La méthode d’intrusion n’a pas été communiquée.
Chronologie
| Date | Événement |
|---|---|
| 22 juil. | Origin annonce enquêter sur un possible incident de sécurité touchant des données clients |
| 23 juil. | Origin confirme l’accès non autorisé et la divulgation de données ; son directeur général présente ses excuses |
Une tentative d’extorsion
Selon 7News, cité par BleepingComputer, un pirate se faisant appeler « John Doe » a contacté l’entreprise et revendique les données de 2 millions de clients. Il dit avoir tenté de joindre les équipes sécurité, le service client et des membres du conseil d’administration sans obtenir de réponse. Il a mis en ligne un site qui menace de publier les données sous deux semaines si Origin ne le contacte pas via Signal pour négocier. Rien ne permet à ce stade de vérifier le volume revendiqué.
Ces revendications ont été rapportées avant la confirmation d’Origin du 23 juillet. Origin a prévenu la police fédérale australienne, l’Australian Cyber Security Centre et l’autorité de protection des données (OAIC). L’entreprise dit contacter directement les clients touchés et leur proposer un accompagnement via un portail dédié.
Les quatre derniers chiffres d’une carte ne permettent pas de payer, mais ils rendent un faux appel du « service client » très crédible. Ne communiquez jamais votre numéro de carte complet ou vos codes à quelqu’un qui vous appelle.
Que faire si vous êtes client d’Origin
- Méfiez-vous des emails, SMS et appels qui se réclament d’Origin et citent vos informations de compte pour vous faire payer une prétendue facture en retard ou « vérifier » vos coordonnées bancaires.
- Contactez Origin uniquement via les coordonnées officielles figurant sur vos factures ou sur son site.
- Avec le nom, l’adresse et la date de naissance, une usurpation d’identité devient plus facile : surveillez les demandes de crédit inhabituelles et, en Australie, envisagez un gel de votre dossier de crédit.
- Restez attentif aux annonces : si le pirate met sa menace à exécution, les données pourraient circuler plus largement.