Plus de 20 millions de fichiers ont été divulgués par 9 applications de rencontres différentes

Pour prouver à quel point les bases de données non sécurisées pouvaient être dangereuses, un groupe de chercheurs a récemment rempli une installation Elasticsearch de données factices, les a mal configurées délibérément et a attendu de voir combien de temps il faudrait aux pirates pour les trouver et commencer à gratter les informations. La première attaque a été constatée dans les huit heures suivant la mise en ligne de la base de données, et au cours des dix jours suivants, le pot de miel a été consulté en moyenne dix-huit fois par jour. Ces résultats devraient être particulièrement pénibles pour les utilisateurs de quelques applications de rencontres de niche qui, comme vous l'avez peut-être déjà deviné, avaient certaines de leurs données stockées dans une base de données mal sécurisée.

Au moins neuf applications de rencontres ont exposé des données utilisateur explicites dans un compartiment S3 non sécurisé

C'est la dernière d'une longue série de découvertes faites par l'équipe de chercheurs de VPNMentor dirigée par Noam Rotem et Ran Locar. Dans le cadre de leur énorme projet de cartographie Web, ils ont localisé un compartiment Amazon Web Services S3 non sécurisé le 24 mai. Au total, la base de données contenait 20,4 millions de fichiers pesant 845 Go.

L'une des choses intéressantes à propos de la base de données était que les informations personnellement identifiables qu'elle exposait étaient limitées. Cependant, il y avait beaucoup de fichiers multimédias et nous sommes sûrs que leurs propriétaires auraient souhaité qu'ils restent confidentiels. Il y avait de nombreuses photos sexuellement explicites avec des visages visibles, des captures d'écran de conversations de chat, des messages vocaux, ainsi que des détails sur les transactions financières.

Pour protéger la vie privée des utilisateurs exposés, les chercheurs ont décidé de ne pas parcourir les données à fond, ce qui signifie qu'il est impossible d'estimer correctement le nombre exact de personnes affectées. Rotem et Locar ont cependant déclaré dans leur rapport que des centaines de milliers et peut-être des millions d'utilisateurs sont impliqués.

Les données ont été divulguées par plusieurs applications de rencontres. L'enquête des chercheurs les a conduits à une entreprise appelée "Cheng Du New Tech Zone", qui était répertoriée dans la section contacts de plusieurs applications de connexion sur Google Play. Les similitudes dans la conception du site Web des applications ont confirmé qu'elles sont très probablement développées par le même groupe de personnes. Voici la liste:

• GHunt
• Rencontres de l'herpès
• SugarD
• Casualx
• Rencontres BBW
• Xpal
• Gay Daddy Bear
• Cougary
• 3somes

Les experts sont certains que ces neuf applications ont été impliquées dans la violation, mais ils estiment que les utilisateurs d'autres applications du même développeur pourraient également être affectés.

Les conséquences de la fuite pourraient être horribles

La bonne nouvelle est que les données ne sont plus en ligne. Deux jours après avoir découvert le seau qui fuit, les chercheurs ont utilisé le formulaire de contact de l'une des applications concernées et, à leur grande surprise, ils ont reçu une réponse presque immédiatement. L'équipe de VPNMentor a répondu à la demande d'informations supplémentaires en envoyant l'URL de l'une des bases de données. Malgré le fait que le développeur ait décidé de ne plus communiquer avec les chercheurs, toutes les données ont été retirées hors ligne dans les 24 heures. Au moment de la rédaction du présent document, certaines applications semblent également avoir été supprimées de Google Play.

C'est bien beau, mais il va sans dire que le développeur n'aurait pas dû faire l'erreur en premier lieu. Comme vous pouvez le voir, nous ne parlons pas de vos concurrents Tinder typiques. Les applications sont destinées aux personnes ayant des préférences et des fétiches sexuels spécifiques qui pourraient être stigmatisés. Ceux qui les utilisent ne veulent probablement pas l'annoncer publiquement, et ils ne voudraient certainement pas exposer les images et les conversations qu'ils partagent entre eux. Si les données tombent entre de mauvaises mains, les criminels pourraient divulguer les images, faire du tort aux personnes concernées ou les extorquer. Des emplois pourraient être perdus, des familles pourraient être brisées et des réputations pourraient être ruinées.

La maintenance des applications de rencontres comporte toujours un degré de responsabilité plus élevé. Les gens font parfois confiance à ces produits avec leurs secrets les plus intimes, et nous pouvons dire avec certitude que dans le cas des applications de rencontres de Cheng Du New Tech Zone, leur confiance était déplacée. La seule chose qu'ils peuvent faire maintenant est d'espérer que, malgré les résultats du document de recherche dont nous avons parlé dans le premier paragraphe, personne d'autre que les experts de VPNMentor n'a vu les données explicites.