Fuite de données MGM Resorts: mise à jour de 2022

Les catégories de données dont la présence a été vérifiée sont les dates de naissance, les adresses e-mail, les noms, les numéros de téléphone et les adresses postales. Le croisement de ces informations accroît les risques d’hameçonnage personnalisé, de faux messages de réservation ou d’annulation, d’escroqueries via des centres d’appels et de détournement des procédures de récupération de compte. La présence d’un numéro de téléphone et d’une adresse e-mail dans un même profil permet aux attaquants de tenter une approche combinant SMS et e-mail. Une date de naissance et une adresse concordantes peuvent rendre plus crédibles les prétextes liés à une vérification d’identité. Les mots de passe, les cartes de paiement et les comptes bancaires ne font pas partie des catégories de données dont la présence a été vérifiée pour cette fiche.

La date de référence de la fuite est le 25 juillet 2019. MGM Resorts a déclaré avoir détecté, durant l’été 2019, un accès non autorisé à un serveur cloud contenant une quantité limitée d’informations sur ses clients, et avoir averti les personnes concernées. En février 2020, 10,6 millions de lignes de données clients ont été publiées; 3 081 321 adresses e-mail uniques ont été vérifiées dans cette première copie. Un ensemble de données plus vaste, présenté en juillet 2020, était annoncé comme contenant 142 479 937 fiches clients. Quatre archives totalisant environ 8 GB ont ensuite été largement diffusées en mai 2022. L’analyse a permis de vérifier la présence de 24 842 001 adresses e-mail uniques dans cet ensemble élargi et a conclu qu’il était très probable que les données proviennent du même incident de 2019. Environ 142 millions de lignes brutes et 24 842 001 adresses e-mail uniques sont deux mesures différentes. Les modalités précises de l’accès non autorisé, au-delà du fait qu’il concernait un serveur cloud, n’ont pas été rendues publiques.

Les personnes dont les coordonnées figuraient dans les dossiers clients de MGM Resorts remontant à 2017 ou à des années antérieures sont à risque. Celles qui utilisent encore le même numéro de téléphone ou la même adresse postale, les voyageurs d’affaires ayant réservé avec une adresse e-mail professionnelle et les personnes ayant un profil public peuvent recevoir des messages ciblés plus convaincants. Le croisement d’un nom, d’une date de naissance, d’une adresse et d’un numéro de téléphone peut aider un attaquant à se faire passer pour un hôtel ou un service de voyage. La présence dans cet ensemble de données ne signifie pas qu’un compte MGM actif a été détourné ni que des informations financières ont été exposées.

Traitez avec prudence les e-mails, SMS et appels inattendus prétendant provenir de MGM Resorts, d’un service de réservation hôtelière, d’un programme de fidélité ou d’une agence de voyages. Ouvrez vous-même le site officiel ou l’application plutôt que de suivre les liens reçus dans un message. Vérifiez les appels demandant une modification de réservation, un paiement ou des informations d’identité en rappelant un numéro publié officiellement. Activez l’authentification multifacteur sur votre compte de messagerie, puis examinez les sessions actives et les options de récupération. Même si la présence de mots de passe n’a pas été vérifiée dans cette fuite, utilisez un mot de passe unique pour chacun de vos comptes de voyage et de fidélité. Ne communiquez jamais de code de sécurité ni d’informations d’identité supplémentaires à quelqu’un qui connaît déjà vos coordonnées.

Les informations difficiles à modifier, comme les noms, les dates de naissance, les numéros de téléphone et les adresses, peuvent servir à des attaques d’ingénierie sociale des années plus tard. Séparer vos comptes de voyage à l’aide d’alias d’adresse e-mail dédiés, générer un mot de passe unique pour chaque compte avec un gestionnaire de mots de passe et supprimer les champs de profil inutiles peut réduire votre exposition à long terme. Gardez les alertes de connexion activées pour vos comptes financiers et de messagerie, et remplacez régulièrement les options de récupération qui renvoient à un ancien numéro de téléphone ou à une ancienne adresse. Si vous réservez vos voyages avec une adresse e-mail professionnelle, signalez les messages suspects évoquant MGM ou un hôtel à l’équipe de sécurité de votre organisation.

Effectuez une vérification dans cette fiche avec l’adresse e-mail que vous avez utilisée auprès de MGM Resorts. Une correspondance signifie que votre adresse figure dans l’ensemble de données MGM élargi diffusé en 2022; elle ne signifie pas que chacune des 142 millions de lignes représentait une personne distincte. Si le résultat est positif, sécurisez en priorité votre compte de messagerie, vos profils de voyage et les comptes importants qui utilisent les mêmes coordonnées. Si le résultat est négatif, gardez à l’esprit qu’il ne vaut que pour cet ensemble de données et que la première fiche MGM Resorts doit être vérifiée séparément.