Travala, une plateforme de réservation de voyages axée sur les cryptomonnaies, a informé ses utilisateurs que des informations clients ont été compromises lors d'une violation de données, selon des informations partagées sur X par @coinbureau. Les données compromises incluraient les noms des clients, leurs adresses e-mail et leurs mots de passe hachés. Les détails disponibles n'indiquent pas que des mots de passe en clair aient été exposés.

Cette divulgation intervient alors que le jeton natif de Travala, AVA, s'échange à un niveau supérieur à celui du début du mois d'août, le jeton affichant une hausse de plus de 40 % depuis le début du mois.

Ce que Travala a confirmé

La notification adressée par Travala à ses utilisateurs confirme que les données clients détenues par la plateforme ont été compromises et que l'entreprise a pris des mesures pour informer les personnes potentiellement concernées.

Les noms et adresses e-mail sont couramment utilisés pour identifier les clients et communiquer avec eux, tandis que les mots de passe hachés sont stockés sous une forme encodée plutôt qu'en tant que mots de passe lisibles. La sécurité des identifiants hachés peut toutefois dépendre de la méthode de hachage et des autres mesures de protection employées par une plateforme. Les implémentations robustes reposent sur des fonctions de hachage lentes et salées, qui rendent les tentatives de cassage à grande échelle très gourmandes en ressources, tandis que les schémas plus anciens ou sans salage rendent les hashs exposés plus vulnérables.

Les informations partagées par @coinbureau ne fournissaient pas de détails techniques supplémentaires sur la manière dont la violation s'est produite, sur le moment où l'accès non autorisé a débuté ni sur le nombre de clients concernés. L'absence de ces détails signifie que l'ampleur complète de l'incident reste incertaine au vu des informations actuellement disponibles.

Ce que la violation pourrait signifier pour les utilisateurs concernés

L'exposition de noms et d'adresses e-mail peut susciter des inquiétudes en matière de vie privée et de sécurité pour les clients, en particulier lorsqu'elle est combinée à d'autres informations de compte compromises. L'association de noms et d'adresses e-mail constitue également un point de départ courant pour les campagnes de hameçonnage, qui usurpent souvent l'identité de la plateforme concernée et peuvent paraître plus convaincantes lorsqu'elles font référence à de véritables informations de compte.

Les mots de passe hachés ne sont pas directement lisibles sous leur forme stockée, mais les données de mots de passe compromises peuvent néanmoins présenter un risque pour la sécurité en fonction de la méthode de hachage employée et de la réutilisation éventuelle du même mot de passe sur d'autres services.

Les clients touchés par une violation de données sont généralement invités à rester vigilants face à toute activité inhabituelle sur leur compte et à toute communication suspecte. Une prudence particulière peut s'avérer importante lors de la réception d'e-mails demandant des informations de connexion, des données de paiement ou d'autres informations sensibles. Les recommandations habituelles après l'exposition d'identifiants incluent également la modification du mot de passe du compte concerné, la mise à jour de tout service où le même mot de passe a été réutilisé et l'activation de l'authentification à deux facteurs lorsqu'elle est disponible.

Les informations disponibles dans le rapport d'origine n'établissent pas que des attaquants aient obtenu des mots de passe en clair ou utilisé les informations compromises pour accéder à d'autres comptes clients. Elles ne fournissent pas non plus de preuve que des informations de paiement ou des avoirs en cryptomonnaies aient été compromis ; ces détails n'étaient pas inclus dans les informations communiquées concernant la violation.

Le jeton AVA en hausse de plus de 40 % en août

L'incident de sécurité rapporté intervient dans un contexte de forte performance mensuelle pour le jeton natif de Travala, AVA. Selon les informations partagées sur X, AVA demeure en hausse de plus de 40 % depuis le début du mois d'août.

La performance du prix du jeton est distincte de la violation de données rapportée. Une variation du prix de marché d'un actif numérique ne fournit aucune information sur la sécurité de la plateforme associée à cet actif et ne permet pas non plus de déterminer si des clients ont été financièrement affectés par un incident de cybersécurité.

Travala opère dans le secteur du voyage crypto, permettant aux utilisateurs de réserver des services liés au voyage via une plateforme construite autour des paiements en cryptomonnaies et basés sur la blockchain. Fondée en 2017, la plateforme accepte les paiements dans une gamme de cryptomonnaies aux côtés des moyens de paiement conventionnels, et son jeton AVA est également utilisé dans le programme de fidélité de la plateforme, qui offre des réductions sur les réservations et des récompenses. La violation rapportée place la sécurité des données clients au rang des considérations opérationnelles et financières auxquelles sont confrontées les entreprises natives de la crypto, qui restent responsables de la protection des données personnelles même lorsque leurs services sont construits autour d'actifs numériques.

La violation met en lumière les risques de cybersécurité pour les plateformes en ligne

L'incident illustre les risques de cybersécurité auxquels sont confrontées les plateformes en ligne qui maintiennent des bases de données clients contenant des informations personnelles et d'authentification. La notification des violations de données est également une obligation légale dans de nombreuses juridictions : en vertu du Règlement général sur la protection des données de l'Union européenne, par exemple, les entreprises doivent signaler les violations de données personnelles aux autorités de régulation dans un délai de 72 heures après en avoir pris connaissance, et des lois de notification comparables existent dans de nombreux autres pays.

Pour les utilisateurs concernés, les informations clés actuellement confirmées sont que des noms, des adresses e-mail et des mots de passe hachés ont été compromis. L'ampleur de la violation, la méthode utilisée pour obtenir l'accès et la question de savoir si des informations supplémentaires ont été affectées n'ont pas été précisées dans la publication X d'origine.

Alors que Travala continue de répondre à l'incident, de nouvelles divulgations pourraient fournir davantage d'informations sur le nombre de clients concernés et sur les mesures prises pour sécuriser ses systèmes, telles que la question de savoir si les utilisateurs devront réinitialiser leurs mots de passe et quelle méthode de hachage protégeait les identifiants stockés. Pour l'instant, la violation rapportée constitue une compromission de données clients, tandis qu'AVA continue de s'échanger plus de 40 % au-dessus de son niveau du début du mois d'août.

Source : Hokanews