La base de données du service de rencontre non protégée fuit des données personnelles
Une autre base de données exposée sur un serveur en ligne a été piratée et a divulgué les données personnelles de ses utilisateurs. La base de données en question appartenait à un site de rencontres fonctionnant sur un serveur Elastisearch et n'était pas protégée par mot de passe. La découverte que la base de données a été exposée a été faite fin août 2020 par des chercheurs en sécurité avec vpnMentor.
Une fois que les chercheurs en sécurité ont contacté les propriétaires de la base de données, elle a été rapidement supprimée, mais cela ne signifie pas que la base de données n'a pas fui avec certitude. Il y avait un total de plus de 880 gigaoctets de fichiers journaux de notification push stockés dans la base de données défectueuse . Les fichiers journaux contenaient les détails de 66 millions de notifications générées au cours des quatre derniers jours, ainsi que les informations personnelles de centaines de milliers d'utilisateurs.
L'agrégateur de services de rencontres exploitant la base de données stockait des notifications provenant de plus de 70 sites de rencontres différents. Il est apparu que beaucoup de notifications étaient des spams, avec des messages proposant aux hommes de trouver des partenaires de régions du monde comme l'Asie ou l'Europe de l'Est. La façon dont le système a été mis en place, les nouvelles notifications ont alarmé les utilisateurs qu'une supposée femme avait envoyé un message pour attirer les gens vers le service.
Informations utilisateur personnellement identifiables exposées
Bien que tout cela ait été fait avec le consentement des utilisateurs, le problème est qu'il y avait beaucoup d'informations personnelles impliquées. La base de données ne stockait pas simplement les notifications elles-mêmes, mais contenait également un bloc marqué comme des données de «débogage» qui contenaient des détails personnels sur les utilisateurs. Les informations personnellement identifiables dans les journaux comprenaient les noms, les e-mails, le sexe ainsi que les données de géolocalisation et d'adresse IP.
Pour aggraver les choses, les chaînes des notifications contenaient également des liens et des clés d'authentification vers des profils d'utilisateurs, ce qui pouvait donner aux mauvais acteurs un accès illimité aux profils, sans même avoir besoin du mot de passe de l'utilisateur. Quiconque aurait potentiellement mis la main sur la base de données non protégée aurait pu accéder à des tonnes d'informations sur les utilisateurs, y compris les profils et les messages passés envoyés sur le service.
Les fuites d'informations personnelles, en particulier liées aux sites et services de rencontres, peuvent entraîner des tas de problèmes pour les personnes impliquées, y compris des tentatives d'extorsion et de chantage.
