Le célèbre distributeur de cannabis californien Stiiizy a récemment été victime d’une cyberattaque massive, révélant au passage des données clients sensibles comme des documents d’identité et des cartes médicales. Un incident majeur qui soulève de nombreuses questions sur la sécurité des données dans l’industrie du cannabis en pleine expansion.

Les faits : une intrusion dans le système de Stiiizy

Selon un avis de violation de données déposé cette semaine auprès du procureur général de Californie, Stiiizy a été informé en novembre dernier par son fournisseur de traitement des points de vente qu’un « groupe de cybercriminalité organisée » avait compromis les données de certains de ses points de vente.

Dans une lettre envoyée aux clients concernés, Stiiizy a confirmé que les pirates avaient eu accès aux données des clients traitées par le fournisseur entre le 10 octobre et le 10 novembre 2024. Les informations volées comprenaient :

• Permis de conduire et passeports des clients
• Cartes de cannabis médical
• Noms, adresses, dates de naissance et données de transaction

Stiiizy, qui exploite 39 magasins aux États-Unis, n’a pas encore précisé le nombre de clients touchés mais a indiqué que l’incident concernait quatre de ses points de vente en Californie. L’entreprise n’a pas répondu aux questions de TechCrunch à ce sujet.

Un probable ransomware selon des experts

Bien que Stiiizy n’ait pas confirmé ou décrit la nature exacte de l’incident, la startup de cybersécurité texane Halcyon AI a déclaré dans un billet de blog de novembre que l’opérateur de cannabis avait été la cible d’une attaque par ransomware.

D’après Halcyon, le groupe de ransomware Everest a revendiqué la cyberattaque, affirmant avoir volé les informations personnelles, y compris les documents d’identification, de plus de 420 000 clients de Stiiizy.

Dans un message sur son site de fuite sur le dark web, que TechCrunch a pu consulter, Everest prétend avoir publié les données volées à Stiiizy après que l’entreprise ait « ignoré » ses demandes de rançon.

Halcyon AI

Les enjeux de sécurité dans l’industrie du cannabis

Cette cyberattaque contre Stiiizy met en lumière les risques croissants auxquels sont confrontés les acteurs du marché légal du cannabis, en termes de protection des données. Quelques points clés :

• Le cannabis restant illégal au niveau fédéral, les entreprises du secteur sont souvent exclues des services bancaires et de paiement traditionnels, les rendant plus vulnérables
• La nature sensible des données (infos médicales, permis…) en fait une cible de choix pour les cybercriminels
• La croissance rapide de l’industrie du cannabis s’accompagne de défis en matière de mise à niveau des systèmes de sécurité

Face à ces menaces, il est essentiel pour les entreprises du cannabis d’investir dans des solutions de cybersécurité robustes, de former leurs employés aux bonnes pratiques et de collaborer étroitement avec les régulateurs pour établir des normes de sécurité adaptées à ce secteur unique.

L’incident Stiiizy sert de rappel brutal : dans un marché en plein essor mais encore fragile sur le plan réglementaire, la protection des données clients n’est pas une option mais une absolue nécessité. L’avenir de l’industrie du cannabis en dépend.