Celsius révèle une fuite d’adresses email de ses utilisateurs

Celsius vient de révéler le vol d’une liste d’adresses e-mail de ses utilisateurs par un employé de Customer.io. Cet incident aurait eu lieu lors de la même violation de données qui a touché la marketplace NFT OpenSea à la fin du mois de juin.

Customer.io fait fuiter une liste d’adresses électroniques de Celsius

Celsius a déclaré aujourd’hui qu’une liste d’adresses électroniques de clients a fait l’objet d’une fuite par le biais de la plateforme de messagerie automatisée Customer.io.

La société de prêt a prévenu ses utilisateurs par e-mail, indiquant que “l’un des employés de [Customer.io] a accédé à une liste d’adresses électroniques de clients de Celsius”. L’employé en question a par la suite envoyé ces adresses à un tiers malveillant. Le nom de ce tiers externe n’a pas été dévoilé.

La déclaration de Celsius indique que ces adresses étaient conservées dans les dossiers de Customer.io à des fins de marketing. Customer.io est un prestataire de Celsius pour l’envoi d’emails, qui se présente comme une plateforme automatisée de messagerie à destination des spécialistes du marketing. Ainsi, les comptes des utilisateurs n’ont pas directement subi de piratage. La plateforme tente également de rassurer ses clients en soulignant que cet incident ne “présentait pas de risques élevés” pour eux. Même s’ils ne sont pas encore en possession de preuves tangibles de cette violation, ils ont décidé de la porter à l’attention de leurs utilisateurs.

Une fuite de données liée à celle d’OpenSea

Selon Celsius, cette violation de données fait partie de la même attaque qui a entraîné la fuite d’adresses électroniques d’utilisateurs liées à la place de marché NFT OpenSea à la fin du mois de juin. Voici le communiqué d’OpenSea à l’époque :

Nous avons récemment appris qu’un employé de Customer.io, notre fournisseur de services d’envoi de mails, a abusé de ses droits d’accès pour télécharger et partager des adresses mail – fournies par les utilisateurs d’OpenSea et les abonnés à notre newsletter – avec une partie externe non autorisée.

La plateforme NFT avait alors alerté ses utilisateurs des risques d’hameçonnage auxquels ils étaient exposés. En début d’année, une campagne de phishing aurait déjà permis de dérober pour 1,7 million de dollars de NFT - 254 jetons dérobés - auprès d’utilisateurs d’OpenSea. Un attaquant aurait profité du contexte d’une opération de transfert de NFT sur la blockchain Ethereum.

Celsius informé sur le tard

À l’époque de la révélation de la fuite chez OpenSea, la plateforme de mailing avait informé Celsius qu’aucune de ses données n’avait été compromise. Toutefois, par précaution, la société avait supprimé toutes ses données de Customer.io. Elle a ensuite tenté de vérifier que la plateforme avait bien effacé ses informations de sa base de données.

Finalement, le 8 juillet, après une enquête plus approfondie, Customer.io a informé Celsius que l’un de ses employés avait en fait accédé à la liste des adresses électroniques de ses utilisateurs. Customer.io a déclaré aujourd’hui que la fuite avait touché cinq entreprises autres qu’OpenSea. Unstoppable Domains semble faire partie d’entre elles.

En réponse, Customer.io a déclaré qu’ils avaient procédé au licenciement de l’employé responsable de la violation. Il a bien sûr également été signalé aux forces de l’ordre.

Un incident au mauvais moment

Bien que le vol d’adresses électroniques soit un fait assez courant, l’incident survient à un moment malheureux pour Celsius. L’entreprise, qui souffre d’une crise de liquidités due, selon elle, à des “conditions de marché extrêmes”, notamment depuis la chute de l’écosystème Terra. Elle a depuis suspendu les retraits des utilisateurs en juin. De plus, elle est maintenant engagée dans une procédure de faillite.

La semaine dernière, Celsius a présenté son plan de restructuration lors d’une audience au tribunal. L’entreprise compte entre autre sur les bitcoins minés et la vente de différents actifs pour rembourser ses dettes. Celsius a également évoqué le sujet du dédommagement de ses utilisateurs. Ils pourraient se voir offrir la possibilité de retrouver leur fond en cash avec une réduction. L’autre option serait de conserver leurs crypto-monnaies. Cette proposition risque de décevoir beaucoup de ses clients.

Cet incident arrive donc à un moment particulièrement délicat pour Celsius qui tentait déjà de regagner la confiance de ses utilisateurs.