Les adresses électroniques de certains utilisateurs de MetaMask pourraient avoir été exposées à un tiers malveillant à la suite d'un incident de cybersécurité récemment découvert. Selon la société mère ConsenSys, l'incident a affecté les utilisateurs qui ont soumis un formulaire de support client à MetaMask entre le 1er août 2021 et le 10 février 2023.

Selon l'article de blog du 14 avril, des acteurs non autorisés ont accédé au système informatique d'un tiers utilisé pour traiter les demandes de service à la clientèle, ce qui leur a permis de consulter les formulaires d'assistance à la clientèle soumis par les utilisateurs de MetaMask.

Ces formulaires ne demandaient pas d'autres informations que celles nécessaires pour aider l'utilisateur, y compris l'adresse électronique pour faciliter les réponses. Toutefois, ils comportaient un champ de texte libre que certains utilisateurs ont pu utiliser pour soumettre des informations d'identification personnelle. Il peut s'agir d'informations économiques ou financières, du nom, du prénom, de la date de naissance, du numéro de téléphone et de l'adresse postale.

Consensys a souligné qu'elle ne demandait pas d'informations d'identification personnelle dans les conversations avec les clients, mais certains ont pu les fournir malgré tout.

La société estime que la violation pourrait avoir affecté jusqu'à 7 000 utilisateurs de MetaMask qui ont soumis des tickets d'assistance à la clientèle.

En réponse à cet incident, le fournisseur de portefeuilles matériels Keystone a averti les utilisateurs de MetaMask que certains d'entre eux pourraient recevoir davantage de courriels de phishing en raison de l'incident, car le pirate pourrait utiliser cette base de données de courriels piratés pour rechercher des victimes potentielles.

Un prestataire de services tiers qui fournit des services d'assistance à la clientèle à ConsenSys a été la cible d'un incident de cybersécurité. ⚠️ Soyez prudent face à l'augmentation potentielle des courriels de phishing à l'avenirhttps://t.co/HswtDiK5EY- Keystone | Hardware Wallet (@KeystoneWallet) 14 avril 2023

Le phishing est une escroquerie qui incite un utilisateur à fournir des informations sensibles à un pirate. Il est souvent réalisé en envoyant à la victime un courriel qui semble provenir d'un tiers de confiance ou d'une personne connue de la victime.

À lire également : MetaMask lance une nouvelle fonction pour l'achat de cryptomonnaies au moyen des fiats

Consensys a déclaré avoir pris des mesures pour éliminer tout accès non autorisé à l'avenir. Par conséquent, les formulaires soumis après le 10 février ne devraient pas être affectés par l'incident. La société a également contacté la Commission de protection des données de l'Irlande et le Bureau du commissaire à l'information du Royaume-Uni pour signaler la violation. En outre, le fournisseur tiers de services à la clientèle de l'entreprise collabore avec une équipe de cybersécurité et de criminalistique pour mener une enquête plus approfondie sur l'incident.

MetaMask s'est attiré les foudres des défenseurs de la vie privée à la fin de l'année 2022 lorsqu'elle a révélé qu'elle enregistrait parfois les adresses IP des utilisateurs. Elle a toutefois mis à jour son application en mars pour permettre aux utilisateurs de mieux contrôler les fournisseurs susceptibles d'obtenir ces informations.