Comment ne pas configurer un mot de passe a conduit à exposer 5 millions d'utilisateurs de Dalil

Voici une énigme intéressante: vous découvrez qu un développeur applications mobiles a mal configuré une base de données et expose les données de millions de personnes sur le Web. Vous essayez de contacter le fournisseur et de lui dire de sécuriser la base de données, mais ils ne répondent pas. Que faire?

Les chercheurs en sécurité Ran Locar et Noam Rotem ont été confrontés au même dilemme récemment. Finalement, ils ont décidé annoncer publiquement ce qu ils avaient trouvé, et pour comprendre leurs motivations, nous devons abord apprendre ce qui est passé exactement.

Les données de plus de 5 millions de personnes du Moyen-Orient exposées

Ran Locar est la personne qui a découvert pour la première fois une installation de MongoDB faisant face à Internet mais non protégée par un mot de passe. Avec aide de Noam Rotem, il a découvert que la base de données appartenait à Dalil - une application identification de appelant Android principalement destinée au marché du Moyen-Orient. idée derrière Dalil est que même si quelqu un de extérieur de vos contacts vous appelle, vous saurez qui il est et vous serez en mesure de rejeter tous les appels potentiellement indésirables.

Pour des raisons qui ne sont pas particulièrement claires, Dalil recueille une quantité énorme informations sur ses utilisateurs. Selon le fil Twitter avec lequel Ran Locar a annoncé actualité, lors de inscription, les utilisateurs de Dalil sont invités à fournir des informations telles que leur nom complet, leur adresse, leur adresse électronique et leur profession. Dans le même temps, la page Google Play de application indique que, lors de installation, Dalil demande accès aux contacts, à emplacement, aux messages texte, aux journaux appels et aux informations sur le périphérique de utilisateur. est plus ou moins ce que Locar et Rotem ont vu dans la base de données ouverte.

Un serveur de production sans mot de passe

Les chercheurs avaient besoin de savoir quel type de serveur ils cherchaient. Ils espéraient que ce serait un banc d’essais rempli d’informations anciennes ou non pertinentes. Malheureusement, ça ne devait pas être.

Lorsque Locar et Rotem ont localisé la base de données à la fin du mois de février, celle-ci contenait près de 586 Go de données, mais ils ont rapidement constaté que davantage informations y étaient transmises. Les chercheurs ont déclaré à ZDNet qu’en un mois environ, la base de données avait augmenté d’environ 208 000 nouveaux numéros de téléphone uniques et d’environ 44 millions d’applications pour applications (appels entrants et sortants, enregistrements, etc.).

En autres termes, ils cherchaient un serveur de production exposant les données de millions de personnes réelles originaires Arabie saoudite, Égypte, des Émirats arabes unis et autres pays. était une mauvaise nouvelle, mais le pire était à venir.

Les cybercriminels ont déjà accédé à la base de données

Après un peu plus de fouilles, Locar et Rotem trouvèrent une note de rançon. Quelqu un avait déjà localisé la base de données, chiffré une partie des données et demandé une rançon pour la libérer.. Cependant, apparemment, les développeurs de Dalil, une société appelée Tech-World , n’ont pas remarqué la violation ou l’ont ignorée et ont continué à transférer des informations de plus en plus sensibles dans la base de données exposée.

Ne pas remarquer et / ou ignorer la communication semble être quelque chose que les développeurs de Dalil font plus souvent qu ils ne le devraient. Après que Locar et Rotem eurent constaté la gravité de la situation, ils tentèrent immédiatement de contacter la société de logiciels, mais malheureusement, sans succès. Les tentatives de communication avec les développeurs sont restées sans réponse et le 4 mars, les deux chercheurs ont communiqué information au public.

était la bonne décision. En effet, vous pourriez affirmer que le fait de parler au monde entier d’une base de données ouverte contenant près de 600 Go de données sensibles doit attirer l’attention des pervers, et vous avez raison. Le truc, est que les escrocs sont déjà entrés et qu ils ont déjà réussi à faire des ravages. Trouver la base de données ne nécessite aucun outil particulier ni un niveau de compétences techniques particulièrement élevé, et le développeur montre clairement une attitude inexplicablement détendue à égard de ensemble, ce qui signifie qu il incombe aux utilisateurs de se protéger eux-mêmes. Espérons qu ils seront informés des dangers avant qu il ne soit trop tard.