Capital One informe avoir déterminé le 19 juillet qu'une personne extérieure avait réussi à accéder à ses systèmes sans autorisation. Il est évoqué une vulnérabilité de configuration qui a été corrigée.

Cette faille a été rapportée par un chercheur en sécurité tiers le 17 juillet via un programme de divulgation responsable mis en place par la banque américaine. L'incident de sécurité remonte pour sa part au 22 et 23 mars 2019.

Selon Capital One, près de 100 millions de clients aux États-Unis et 6 millions au Canada ont été affectés. Parmi les données personnelles principalement exposées, les noms, adresses, numéros de téléphone, adresses email, dates de naissance et revenus déclarés par des clients ayant fait une demande de carte de crédit entre 2005 et début 2019.

Capital One - qui présente évidemment ses excuses - indique en outre que 140 000 numéros de sécurité sociale US, 80 000 numéros de comptes bancaires d'Américains, ainsi que 1 million de numéros d'assurance sociale de Canadiens ont été compromis.

Une FAQ sur ce piratage a été mise en ligne. " D'après notre analyse à ce jour, nous croyons qu'il est peu probable que les données aient été utilisées à des fins frauduleuses ou diffusées par cette personne. " Dans le cadre d'une enquête menée par le FBI, une ancienne ingénieure logiciel d'une entreprise de technologie de Seattle a été arrêtée. En l'occurrence, elle aurait travaillé pour Amazon Web Services.

Selon la justice américaine, cette femme de 33 ans s'est introduite dans un des serveurs cloud de la banque en profitant d'une mauvaise configuration d'un pare-feu d'application web pour accéder aux données.

Elle s'est notamment vantée de son intrusion sur GitHub (et sur des réseaux sociaux). C'est a priori ainsi que l'alerte a été donnée pour signaler des données sensibles sur GitHub provenant d'un bucket S3 Amazon Web Services de Capital One.

Toute cela a facilité la traque du FBI. Pour tenter de couvrir les traces de son piratage, elle aurait utilisé Tor et un VPN de IPredator. Mais si c'est pour " se griller toute seule " par la suite… Les motivations d'un tel acte de piratage ne sont pas claires à ce stade.