Le hack chaotique et cinématographique du casino MGM, expliqué

Les grands casinos MGM Resorts ont-ils pris le risque de mettre en jeu les données de leurs clients ? C’est une question que beaucoup de ces clients se posent probablement après qu’une attaque informatique ait mis hors service de nombreux systèmes de MGM pendant plusieurs jours. Et tout a peut-être commencé par un appel téléphonique, si l’on en croit les rapports citant les pirates eux-mêmes. MGM, qui possède plus de deux douzaines d’hôtels et de casinos dans le monde entier, ainsi qu’une filiale de paris sportifs en ligne, a signalé le 11 septembre qu’un «problème de cybersécurité» affectait certains de ses systèmes, qu’elle avait fermés pour «protéger nos systèmes et nos données». Pendant les jours suivants, des rapports ont indiqué que tout, des clés numériques de chambre d’hôtel aux machines à sous, ne fonctionnait pas. Même les sites Web de ses nombreuses propriétés ont été hors ligne pendant un certain temps. Les invités se sont retrouvés dans des files d’attente de plusieurs heures pour s’enregistrer et obtenir des clés de chambre physiques, ou bien des reçus manuscrits pour leurs gains de casino alors que l’entreprise passait en mode manuel pour rester aussi opérationnelle que possible. MGM Resorts n’a pas répondu à une demande de commentaire et n’a fait référence qu’à une «question de cybersécurité» de manière vague sur Twitter/X, rassurant les invités qu’elle travaillait à résoudre le problème et que ses complexes restaient ouverts. Il a fallu environ 10 jours, mais MGM a annoncé le 20 septembre que ses hôtels et casinos «fonctionnaient normalement» à nouveau, même si des «problèmes intermittent» pouvaient survenir et que le programme de fidélité MGM ne serait peut-être pas disponible. «Nous vous remercions de votre patience», a déclaré l’entreprise dans sa déclaration. Elle n’a fourni aucune information supplémentaire sur les raisons pour lesquelles ses systèmes étaient hors service au départ. Plusieurs semaines plus tard, le 5 octobre, MGM a fourni une autre mise à jour avec de mauvaises nouvelles pour ses invités : les pirates ont pu accéder à leurs données personnelles, y compris leurs noms, coordonnées, sexe, date de naissance, numéro de permis de conduire, de passeport, et même le numéro de sécurité sociale, de «certains clients» avant mars 2019. L’entreprise n’a pas révélé combien de personnes cela inclut, mais a déclaré qu’elle fournissait des services de surveillance de crédit gratuits à ces derniers, ce qui est devenu la réponse standard des entreprises qui ne peuvent pas assurer la sécurité des données de leurs clients.