Jio ne semble pas comprendre à quoi servent les mots de passe, et maintenant des données privées ont été exposées
Tout le monde essaie d'aider à lutter contre le méchant coronavirus, et les entreprises technologiques ne font pas exception, en particulier celles qui ont de grandes bases d'utilisateurs. Reliance Joi, l'un des plus grands fournisseurs de télécommunications en Inde, par exemple, a récemment lancé ce qu'il a appelé un «vérificateur de symptômes». Après avoir vu l'outil, nous devrions probablement souligner que le nom que Jio a choisi pourrait être un peu optimiste.
Si vous pensez que l'outil vérifiera en quelque sorte vos symptômes et déterminera si vous avez ou non le COVID-19, vous seriez déçu. Essentiellement, le vérificateur de symptômes de Jio est une série de questions à choix multiples. Sur la base de vos réponses, un algorithme détermine si vous êtes à risque faible, moyen ou élevé d'attraper la maladie, et il vous donne les conseils appropriés. Vous pouvez créer un compte et "suivre" vos symptômes, mais c'est à peu près tout en termes de fonctionnalités.
Attention, ce n'est pas une perte de temps. En plus de vous indiquer l'ampleur du risque, le vérificateur de symptômes vous donne également un certain nombre de ressources qui peuvent être extrêmement utiles, en particulier compte tenu des nombreuses fausses nouvelles et des campagnes de désinformation entourant la pandémie. Vous devez cependant être conscient du fait qu'un outil en ligne ne peut pas vous dire si votre nez qui coule a été causé par le rhume ou le coronavirus. Ceux d'entre vous qui utilisent le vérificateur de symptômes de Joi doivent savoir que certaines des données que vous saisissez sont enregistrées.
Le vérificateur de symptômes de Jio enregistre certaines des informations saisies par les utilisateurs
Chaque test est soigneusement enregistré. Dans la plupart des cas, les informations conservées sont limitées au sexe, à l'âge, et si vous fournissez vos propres réponses ou si vous répondez au nom d'un ami ou d'un parent. Des informations sur le système d'exploitation de l'utilisateur et la version du navigateur sont également enregistrées et stockées et, si cela est autorisé, le vérificateur de symptômes peut enregistrer l'emplacement précis de l'utilisateur. Comme vous pouvez l'imaginer, les journaux sont encore plus détaillés pour les utilisateurs enregistrés. Le vérificateur de symptômes de Jio ne semble enregistrer aucune information personnellement identifiable, mais nous sommes à peu près sûrs qu'au moins certains d'entre vous se demandent pourquoi ils ont besoin de ces détails.
La vérité est que les fournisseurs de services doivent garder un œil sur qui utilise leurs produits et comment, et il n'y a aucun doute dans l'esprit de quiconque que les statistiques d'utilisation aident les développeurs à introduire des optimisations de performances et de nouvelles fonctionnalités.
La question ici est de savoir si les points de données énumérés ci-dessus correspondent tous au terme "statistiques d'utilisation", et nous sommes à peu près sûrs qu'il y a des gens qui diraient le contraire. L'argument de Jio pour enregistrer toutes ces données n'est pas aidé par le fait que les utilisateurs ne sont pas explicitement avertis à ce sujet.
Jio met les données des utilisateurs en danger en les laissant dans une base de données ouverte
Vous vous demandez peut-être comment nous savons tout cela, et malheureusement, la réponse est le détail le plus décevant de toute l'histoire. Le 1er mai, le chercheur en sécurité Anurag Sen, la même personne qui a découvert la fuite de Paay il y a quelques semaines, a localisé une base de données qui, selon une inspection plus approfondie, appartenait à Jio. En jetant un coup d'œil à l'intérieur, Sen a trouvé des millions d'enregistrements qui ont été enregistrés par le vérificateur de symptômes, dont certains remontent au 17 avril.
Il s'est avéré être un serveur de production et les enregistrements de plus de personnes utilisant l'outil étaient ajoutés en temps réel. Pire encore, parce qu'elles n'étaient pas protégées par un mot de passe, les données étaient accessibles de n'importe où dans le monde. Anurag Sen a immédiatement contacté Zack Whittaker de TechCrunch, qui a informé Jio de la fuite, et la base de données a rapidement été mise hors ligne. Un porte-parole du fournisseur de télécommunications a déclaré à Whittaker que Sen était tombé accidentellement sur l'un des "serveurs de journalisation" de la société, ce qui les aidait à surveiller les performances du site Web. Ce que Jio n'a pas dit, c'est pourquoi il a été laissé sans mot de passe.
Comme d'habitude avec ce type de fuites, il n'est pas vraiment possible de dire si les cybercriminels ont réussi à accéder aux données avant leur suppression. Dans ce cas, les informations exposées ne semblent pas être si sensibles, mais malheureusement, l'incident prouve pour la énième fois que les personnes responsables du stockage des données des utilisateurs ne font pas toujours un très bon travail.
