Verizon piraté par sa propre vitrine : 6,3 millions de fiches client en vente pour 1 200 $
Le prestige de Verizon s’est fissuré en un clic. Sur un forum de hackers, un lot de 61 Go contenant 6,3 millions de fiches clientes vient d’être mis en vente au prix d’un ticket de métro : 1 200 dollars. Le vendeur assure avoir pénétré les serveurs de Russell Cellular, le plus gros revendeur agréé du géant américain, présent dans 750 points de vente. Le message est limpide : vos noms, numéros, comptes, e-mails, fonctions internes — tout est là, étiqueté, prêt à servir de rampe de lancement à des campagnes de SIM-swap ou de chantage.
La faille vient de l’intérieur
Le fichier ne contient pas seulement des coordonnées. Il livre aussi les identifiants et rôles des 20 000 salariés du réseau, une clé à double tranchant : ouvrir la boîte aux lettres d’un conseiller ou déclencher un accès administrateur. Cybernews a vérifié deux échantillons ; ils sont crédibles. Verizon confirme « enquêter activement » mais, sur Reddit, des employés racontent que personne ne leur a encore demandé de changer leur mot de passe. Le silence est assourdissant.
Depuis l’Asie, où j’ai vu naître des systèmes de KYC fondés sur une simple photo, je mesure la distance entre le discours sécuritaire des opérateurs et la réalité de leurs chaînons les plus faibles. Les « corporate stores » se gargarisent de normes ISO ; les revendeurs, eux, bricolent avec des CRM obsolètes et des accès partagés. Le résultat : un détaillant devient le point d’entrée idéal pour vider un backbone national.
Le client paie l’addition
Concrètement, si vous avez acheté un forfait ou un iPhone via Russell Cellular, changez votre passphrase Verizon dès ce soir. Activez l’authentification à deux facteurs, placez un gel à l’Equifax, et surveillez les numéros de carte qui traînent dans votre coffre. Les fraudeurs ne vont pas attendre : la revente des données s’accompagne déjà de offres « pack d’info + SIM prépayée » à 50 $ pièce.
Verizon promet « des mises à jour progressives ». Traditionnellement, cela signifie un communiqué tardif, une année de crédit gratuit chez Experian, et l’affaire enterrée. Entre-temps, le titre VZ a perdu 1,8 % à la clôture ; les clients, eux, risquent de perdre leur numéro, leur identité, leur tranquillité. La leçon ? Tant que les opérateurs confieront leurs relations clients à des franchisés mal audités, la cybersécurité restera une vitrine — jamais un mur.