Dans un coup porté à la vie privée des consommateurs, les adresses et les détails démographiques de plus de 80 millions de foyers américains ont été exposés dans une base de données non sécurisée stockée sur le cloud, ont découvert des chercheurs indépendants en sécurité.
Les détails comprenaient les noms, les âges et les sexes ainsi que les niveaux de revenu et l’état matrimonial. Les chercheurs, dirigés par Noam Rotem et Ran Locar, n’ont pas été en mesure d’identifier le propriétaire de la base de données, qui était en ligne jusqu’à lundi et n’avait pas besoin de mot de passe pour y accéder. Certains renseignements ont été codés, comme le sexe, l’état matrimonial et le niveau de revenu. Les noms, les âges et les adresses n’étaient pas codés.
Les données n’incluaient pas les informations de paiement ou les numéros de sécurité sociale. Les 80 millions de ménages touchés représentent bien plus de la moitié des ménages aux États-Unis, selon Statista.
« Je ne voudrais pas que mes données soient exposées de la sorte « , a déclaré Noam Rotem dans une interview. « Elles ne devraient pas être là. »
Noam Rotem et son équipe ont vérifié l’exactitude de certaines données dans la mémoire cache, mais n’ont pas téléchargé les données pour réduire au minimum l’atteinte à la vie privée des personnes inscrites, a-t-il dit.
C’est un exemple de plus d’un problème répandu de stockage de données dans les Clouds, qui a révolutionné notre façon de stocker des informations précieuses. De nombreuses entreprises n’ont pas l’expertise nécessaire pour sécuriser les données qu’elles conservent sur des serveurs connectés à Internet, ce qui entraîne des expositions répétées de données sensibles.
Plus tôt en avril, un chercheur a révélé que les renseignements sur les patients des centres de traitement de la toxicomanie avaient été versés dans une base de données non sécurisée. Un autre chercheur a trouvé une énorme cachette de données d’utilisateurs Facebook stockées par des entreprises tierces dans une autre base de données qui était visible au public.
Contrairement à un piratage, vous n’avez pas besoin de pénétrer dans un système informatique pour accéder à une base de données exposée. Il vous suffit de trouver l’adresse IP, le code numérique attribué à une page Web donnée. Rien n’indique toutefois que les cybercriminels aient eu accès à l’information contenue dans cette base de données.
Pour la recherche, Noam Rotem et Ran Locar se sont associés à VPNmentor, une entreprise israélienne qui examine les produits de protection de la vie privée appelés VPN et reçoit des commissions lorsque les lecteurs en choisissent un qui leur plaît. Dans un billet de blog publié lundi, l’entreprise a demandé au public de l’aider à identifier qui pourrait être propriétaire des données afin qu’elles puissent être sécurisées.
« Les 80 millions de familles répertoriées ici méritent la protection de leur vie privée « , a déclaré l’entreprise dans son billet de blog.
Noam Rotem a constaté que les données étaient stockées sur un service dans le Cloud appartenant à Microsoft. La sécurisation des données dépend de l’organisation qui a créé la base de données, et non de Microsoft elle-même.
« Nous avons informé le propriétaire de la base de données et nous prenons les mesures appropriées pour aider le client à supprimer les données jusqu’à ce qu’elles puissent être correctement sécurisées « , a déclaré lundi un porte-parole de Microsoft dans un communiqué.
Le serveur hébergeant les données a été mis en ligne en février, a trouvé Noam Rotem, et il l’a découvert en avril en utilisant des outils qu’il a développés pour rechercher et cataloguer des bases de données non sécurisées. En janvier, il a également découvert une faille de sécurité dans un système de réservation de billets d’avion largement utilisé et baptisé Amadeus qui pourrait permettre à un attaquant de visualiser et de modifier les réservations de billets d’avion.
L’antémémoire des données démographiques comprenait des données sur les adultes de 40 ans et plus. De nombreuses personnes figurant sur la liste sont des personnes âgées, ce qui, selon Noam Rotem, pourrait les exposer au risque d’escroqueries de la part d’escrocs tentés d’utiliser l’information pour tenter de les escroquer.
Une mise à jour du 29 avril précisé que la base de données a été mise hors ligne.
https://www.cnet.com/news/cloud-database-removed-after-exposing-details-on-80-million-us-households/
https://www.statista.com/statistics/183635/number-of-households-in-the-us/
