Les données personnelles de l'ensemble de la population équatorienne auraient pu être divulguées

Certaines fuites de données sont plus importantes et ont plus d’impact que d’autres. Mais comment les classer exactement? Quand un incident de sécurité des données peut-il être considéré comme un problème majeur et quand n’est-ce pas un si gros problème? Le sens de l'échelle a été quelque peu flou.

Si 50 000 personnes perdent leurs données, par exemple, vous pourriez penser qu'il s'agit d'une violation significative. Lorsque vous réalisez que des milliards d'utilisateurs interagissent quotidiennement avec des centaines de milliers de services en ligne et hors ligne, vous commencez à vous rendre compte qu'il ne s'agit que d'une goutte d'eau dans l'océan. Lorsque la population de tout un pays est touchée, toutefois, la brèche ne peut jamais être considérée comme petite.

Un serveur Elasticsearch non sécurisé expose les données personnelles de millions d'Équatoriens

Une fois encore, les informations divulguées ont été découvertes par l'équipe de chercheurs de vpnMentor dirigée par Noam Rotem et Ran Locar. Au cours des derniers mois, ils ont participé à un projet de cartographie sur le Web qui a permis de découvrir des dizaines de bases de données mal protégées, qui divulguaient des informations sensibles depuis des années. Il y a quelques semaines, ils ont trouvé le suivant dans une très longue liste de bases de données Elasticsearch faisant face à Internet sans aucune forme de protection, mais ils ont vite compris qu'il ne s'agirait pas d'une fuite de données ordinaire.

Une analyse rapide des données a révélé que toutes les personnes concernées étaient des citoyens équatoriens. De manière surprenante, le serveur Elasticsearch détenait 20,8 millions de disques, soit 4,2 millions de plus que la population actuelle du pays. Les chercheurs ont compris que tous les Équatoriens, ainsi que de nombreuses personnes décédées, pourraient être présents. Pour mieux comprendre l'ampleur de l'incident, Rotem et Locar ont contacté Catalin Cimpanu de ZDNet, qui les a aidées à parcourir la base de données et à découvrir ce qui se passait.

Confirmer la légitimité des données n'était pas si difficile. Le journaliste de ZDNet n'a eu aucune difficulté à trouver des archives de Lenín Moreno, président de l'Équateur, et il a également retrouvé les données personnelles de Julian Assange, à qui, comme vous le savez probablement, l'asile de l'ambassade britannique du pays, situé en Amérique du Sud. La facilité avec laquelle les informations étaient accessibles était assez effrayante, mais quand ils ont vu combien de données se trouvaient dans le serveur Elasticsearch, Rotem, Locar et Cimpanu étaient correctement terrifiés.

Le serveur qui fuit a exposé des tonnes de données sensibles

Cimpanu a divisé les données divulguées en deux groupes distincts: les informations collectées par le registre de l'état civil de l'Équateur et les informations collectées par les entreprises privées. Il n’est probablement pas surprenant que le registre de l’état civil contienne beaucoup d’informations sur les citoyens équatoriens. Cela comprend les noms complets , les dates de naissance , les lieux de naissance , les numéros de téléphone , les adresses et les informations sur l'état matrimonial , le lieu de travail et l' éducation . En plus de tout cela, la base de données comprenait ce que les Équatoriens appellent cedulas . Un cedula est un numéro d'identification national, qui correspond essentiellement au numéro de sécurité sociale américain.

Si vous êtes un voleur d'identité, ce type de données ferait rêver. Le serveur qui fuit a eu beaucoup plus que cela, cependant. Il y avait suffisamment d'informations sur les membres de la famille des personnes pour reconstituer en gros chaque arbre généalogique du pays, y compris les données personnelles de près de 7 millions d'enfants. Encore une fois, nous parlons de noms , d’adresses , de lieux de naissance et de cedulas .

La fuite s'annonçait déjà assez horrible et Cimpanu, Locar et Rotem n'avaient même pas examiné les données recueillies par des organisations privées.

Les noms de nombreuses entreprises privées étaient présents dans la base de données, mais ceux qui se démarquaient étaient Banco del Instituto Equatoriano de Seguridad Social ou BIESS, une banque publique, et Asociación de Empresas Automotrices del Ecuador ou AEADE, une association. des entreprises du secteur automobile.

Il y avait environ 7 millions d'enregistrements BIESS contenant des données sur la santé financière des personnes, y compris le statut du compte bancaire, le solde du compte bancaire , le type de crédit et les détails du travail . Les archives de l'AEADE ont révélé les informations d'environ 2,5 millions de propriétaires de voitures. Cela inclut la marque et le modèle de la voiture, ses plaques d'immatriculation , la date d'immatriculation , etc. Ajoutez ces informations au reste des informations divulguées, et vous verrez que la sécurité de la voiture et de son propriétaire peut être sérieusement compromise. risque.

Qui est responsable de la fuite?

Bien qu'il contienne des informations sur des personnes qui ne sont plus parmi nous, ce n'était pas une vieille base de données oubliée qui avait été compilée des années auparavant. Certaines des informations qu'il contenait étaient en fait assez récentes, ce qui signifiait qu'il était encore plus important de les retirer le plus rapidement possible.

Après quelques recherches, Rotem, Locar et Cimpanu ont découvert que le serveur mal configuré Elasticsearch appartenait à une société d’analyse appelée Novaestrat. Ce qu’ils n’ont pas réussi à comprendre, c’est comment Novaestrat a mis la main sur les données et s’il est autorisé ou non à le faire parce que les multiples tentatives faites pour contacter l’entreprise ont échoué. Heureusement, l'équipe d'intervention en cas d'urgence informatique (CERT) de l'Équateur s'est avérée beaucoup plus utile et, une fois impliquée, la base de données a été mise hors ligne.

À ce stade, il est impossible de dire si les données divulguées ont été consultées par une personne autre que les chercheurs de vpnMentor et le journaliste de ZDNet. Les citoyens équatoriens ne peuvent qu'espérer que les cybercriminels soient arrivés trop tard. Compte tenu du niveau de détails qui ont été exposés, cependant, leur priorité numéro un devrait être de garder les yeux ouverts pour repérer les signes d'utilisation abusive de leurs informations.