Des milliers d'utilisateurs de PhotoSquared sont confrontés à une violation de données
Comme certains d'entre vous le savent peut-être maintenant, Noam Rotem et Ran Locar dirigent une équipe de chercheurs de VPN Mentor chargée d'un projet de cartographie Web à grande échelle conçu pour découvrir et sécuriser des bases de données mal protégées qui divulguent des informations sensibles. Au cours des derniers mois, ils ont signalé un certain nombre de violations massives de données et ont vraiment montré à quelle fréquence les entreprises ne font pas assez pour protéger les données des utilisateurs. Rotem et Locar ont admis que découvrir qui fuit l'information nécessite souvent des jours d'enquête et beaucoup de travail acharné. Cependant, avec leur découverte la plus récente, ce n'était pas le cas.
Au cours d'une session d'analyse de port, Rotem et l'équipe de Locar ont découvert un compartiment AWS S3 accessible au public et non protégé par un mot de passe. Il contenait un peu moins de 95 Go de données, et le nom de son propriétaire était disponible dans l'URL - PhotoSquared.
Qu'est-ce que PhotoSquared?
Vous avez de meilleures chances de comprendre l'ampleur de la fuite si vous savez ce que fait PhotoSquared. Il veut être l'une des réponses du 21ème siècle à la boutique du développeur photo. Au lieu d'aller dans un emplacement physique et de remettre manuellement les photos que vous souhaitez sous forme imprimée, vous utilisez simplement l'application mobile pour choisir vos clichés préférés à partir de votre pellicule ou de vos flux de médias sociaux. Un paiement en ligne plus tard, PhotoSquared imprime vos photos sur des planches de 8 "x 8" et les affiche à votre adresse. Cela semble très pratique, c'est probablement pourquoi plus de 100 000 personnes ont téléchargé l'application depuis Google Play. Le modèle commercial signifie cependant que quelqu'un, quelque part, est chargé de gérer les détails personnels et les photos préférées d'un grand nombre d'utilisateurs. Malheureusement, cette personne n'a pas fait du très bon travail.
Un seau S3 mal configuré fuit les photos et les informations personnelles de centaines de milliers d'utilisateurs
La taille de la base de données était un très bon cadeau quant à ce qu'elle contenait. Quand ils l'ont ouvert, Noam Rotem et Ran Locar ont trouvé environ 1 million d'enregistrements qui comprenaient:
- Photos des utilisateurs préparées pour l'édition et l'impression
- Commander les enregistrements et les reçus enregistrés sous forme de documents PDF
- Étiquettes et informations d'expédition
- Noms des utilisateurs
- Domicile et adresses de livraison
Il est difficile de dire combien de personnes sont touchées par la fuite, mais les chercheurs ont souligné que les informations de la base de données ont été collectées entre novembre 2016 et janvier 2020, ce qui représente une période de temps importante. Comme les experts l'ont également noté, les répercussions potentielles sont assez effrayantes.
Une combinaison de photos privées et d'informations personnelles (y compris les adresses personnelles) pourrait donner à un cambrioleur potentiel un assez bon aperçu de la vie de sa cible. En plus de cela, les détails divulgués peuvent servir de point de départ pour des reconnaissances supplémentaires et d'autres activités criminelles.
Rotem et Locar ont découvert le compartiment non protégé le 30 janvier et ont contacté le développeur de l'application le 4 février. PhotoSquared a mis dix jours complets pour sécuriser la base de données, mais heureusement, il est maintenant hors ligne. Il n'y a aucune preuve que quelqu'un abuse des données exposées, ce qui signifie que nous ne pouvons guère faire plus qu'espérer que tout le monde a appris ses leçons.
L'incident est le suivant dans une très longue série de rappels sombres que bien que des applications comme PhotoSquared apportent une bonne dose de confort et de nouveauté à nos vies, les utiliser signifie souvent leur faire confiance avec beaucoup d'informations personnelles extrêmement sensibles. C'est quelque chose que nous devrions probablement garder à l'esprit avant d'appuyer sur le bouton Installer.
La violation devrait également rappeler aux développeurs de ces applications que le traitement des données de centaines de milliers de personnes est une énorme responsabilité. De simples erreurs de mauvaise configuration comme celle que PhotoSquared a faite devraient être complètement intolérables.
