OpenSea signale une violation de données et avertit les clients d’éventuelles tentatives d’hameçonnage

OpenSea – l’une des plateformes NFT les plus populaires – a signalé une violation de données affectant les informations d’identification personnelle (PII) des clients abonnés à la liste de diffusion de l’entreprise.

La sécurité externe laxiste en faute

La violation n’a pas été causée par OpenSea elle-même, a expliqué la société. Cela était plutôt dû à un employé de Customer.io, une plate-forme tierce engagée par OpenSea pour gérer les communications sur les réseaux sociaux.

Ce n’est pas la première fois que les plates-formes de gestion de la relation client (CRM) se révèlent être une faille dans l’armure des plates-formes crypto et NFT. Pas plus tard qu’en mars, un CRM similaire – Hubspot – était responsable d’une violation de données presque identique affectant Circle, Swan Bitcoin, BlockFi et NYDIG.

Une légère augmentation des tentatives d’hameçonnage est attendue

OpenSea a officiellement annoncé la faille dans un article de blog publié il y a seulement quelques heures. Dans la déclaration, la société a averti les utilisateurs que la quantité de données volées est soupçonnée d’être assez importante, leur conseillant d’être extrêmement vigilants.

Sur Twitter, les clients d’OpenSea signalent déjà des e-mails, des appels téléphoniques et des messages suspects qui leur sont adressés, qui auraient lieu en raison d’informations volées par l’employé de Customer.io.

Mes informations ont été piratées grâce à OpenSea et le client io Lord Jeebus m’a aidé. Je me demandais pourquoi j’avais reçu tant de spams, d’appels téléphoniques et d’e-mails ces derniers temps.

— Metzilmazatl (Moon Deer) (@TheAscendant3) 30 juin 2022

Le porte-parole d’OpenSea a également confirmé que l’équipe avait déjà contacté les autorités judiciaires compétentes au sujet de la violation. Contrairement aux exploits récents des plates-formes liées à la blockchain, cette attaque est centrée sur les données des clients – qui, contrairement aux jetons, sont fortement protégées par les gouvernements du monde entier.

« Si vous avez partagé votre e-mail avec OpenSea dans le passé, vous devez supposer que vous avez été impacté. Nous travaillons avec Customer.io dans leur enquête en cours, et nous avons signalé cet incident aux forces de l’ordre. Veuillez rester vigilant quant à vos pratiques en matière de messagerie et soyez attentif à toute tentative d’usurpation de l’identité d’OpenSea par e-mail. »

OpenSea a déjà commencé à envoyer des e-mails aux adresses confirmées comme ayant été affectées, expliquant brièvement comment la violation s’est produite et avertissant les utilisateurs d’être sur leurs gardes.

Violation de données OpenSea. pic.twitter.com/FEtDKsoHje

— eric.eth (@econoar) 30 juin 2022

Plusieurs bonnes pratiques anti-hameçonnage sont également abordées dans l’e-mail, ainsi qu’un rappel qu’opensea.io est le seul domaine de site Web légitime détenu par l’entreprise. Un avertissement pour éviter de télécharger des pièces jointes est également inclus, rappelant qu’en règle générale, les e-mails d’OpenSea ne contiennent pas de pièces jointes.

Les hyperliens ont également été abordés ; bien que les e-mails d’OpenSea puissent en inclure, tout lien invitant un utilisateur à signer une transaction de portefeuille doit être considéré comme frauduleux.

En conclusion, OpenSea s’engage à informer les utilisateurs de la situation dans la mesure du possible et demande que toute tentative de phishing soit signalée à son équipe d’assistance.