Une violation de données sur la plate-forme d'apprentissage en ligne espagnole 8Belts affecte plus de 150 000 utilisateurs dans le monde

8Belts est une plate-forme d'apprentissage en ligne espagnole spécialisée dans les cours de langues étrangères. Il a été fondé en 2011 et a été financé en partie par le Fonds européen de développement régional de l'UE et le gouvernement espagnol. Selon les chercheurs en sécurité Noam Rotem et Ran Locar, cependant, 8Belts est utilisé par des personnes du monde entier, y compris l'Angola, l'Australie, la Barbade, la Belgique, les États-Unis et l'Ouzbékistan. Vous vous demandez peut-être comment quelques experts en sécurité savent que de nombreux détails sur la base d'utilisateurs d'une plate-forme d'apprentissage en ligne. Malheureusement, ils ont trouvé l'information dans une base de données non protégée.

Un autre jour, une autre base de données exposée

Comme certains d'entre vous le savent peut-être, Rotem et Locar dirigent une équipe de chercheurs travaillant pour VPNMentor. Au cours des derniers mois, ils ont travaillé sur un énorme projet de cartographie Web dans le but d'améliorer la sécurité globale des données. Dans le processus, cependant, ils ont montré à quel point il est facile d'exposer des gigaoctets d'informations privées.

Les fournisseurs de services font un certain nombre d'erreurs, et l'une des plus courantes consiste à laisser une base de données remplie de données personnelles des utilisateurs dans un compartiment Amazon Web Service S3 accessible au public. Ils oublient souvent de protéger le compartiment avec un mot de passe et, dans le processus, ils l'exposent par inadvertance à toute personne disposant d'une connexion Internet. De nombreuses entreprises l'ont fait et à la mi-avril, les chercheurs de VPNMentor ont découvert que 8Belts avait rejoint le club.

8Belts place une base de données de production dans un compartiment de stockage S3 public

En trouvant la base de données, les experts ont vu que certains des documents qu'elle contenait remontaient à 2017, mais alors qu'ils essayaient de déterminer qui était le propriétaire, ils ont vu que des informations étaient ajoutées en temps réel. En d'autres termes, c'était une base de données de production active qui collectait les détails des nouveaux utilisateurs de 8Belts. Il y avait aussi beaucoup de détails.

Dans l'un des fichiers CVS, les experts ont vu les enregistrements de pas moins de 150 000 utilisateurs de 8Belts. Chaque enregistrement contenait les détails suivants:

• Noms
• Adresse électronique
• Numéro de téléphone
• Pays de résidence
• Date de naissance

Malheureusement, d'autres fichiers dans le seau contenaient des données encore plus sensibles, y compris les numéros d'identification nationaux des étudiants et des mentors.

La violation aurait pu avoir des conséquences horribles pour 8Belts et ses clients

Vous pouvez déjà voir que la plate-forme e-learning espagnole divulguait beaucoup d'informations personnellement identifiables, et ce que les chercheurs ont décrit comme "une lacune importante dans les protocoles de sécurité de 8Belts" aurait pu entraîner de nombreux cas de vol d'identité. Malheureusement, ce n'était pas tout.

Sur son site Web, 8Belts se vante d'offrir des cours de langues étrangères aux employés de plusieurs grandes entreprises de renommée mondiale. Parmi ses partenaires, vous trouverez des entreprises comme Huawei, Deloitte, PricewaterhouseCoopers, Santander, etc. Effectivement, les données personnelles des employés de ces entreprises figuraient également dans la base de données de 8Belts. Cela a non seulement exposé les employés eux-mêmes, mais cela aurait également pu mettre les clients de la plateforme d'apprentissage en danger.

En plus de cela, l'équipe de VPNMentor a découvert des journaux de serveur qui ont révélé le fonctionnement de certains des systèmes backend de 8Belts. Ces informations auraient pu aider les cybercriminels à pirater la plate-forme d'apprentissage en ligne elle-même, causant une quantité incalculable de dommages.

Le seau qui fuit a été tranquillement retiré hors ligne

Quelques jours après avoir découvert les informations révélées, les chercheurs ont tenté de contacter 8Belts pour divulguer la violation et offrir une assistance supplémentaire. En attendant une réponse, ils ont également contacté Amazon et informé le fournisseur de stockage des informations exposées. Finalement, ils n'ont pas reçu de réponse, mais lorsqu'ils ont vérifié quelques semaines plus tard, ils ont découvert que la base de données avait été retirée hors ligne. Bien que VPNMentor ait publié son rapport il y a quelques jours, 8Belts n'a pas encore offert quoi que ce soit qui ressemble à une déclaration officielle.

En effet, comme c'est le cas pour de nombreuses fuites similaires, nous n'avons vu aucune preuve d'une mauvaise utilisation des données exposées, mais cela ne devrait jamais être une raison pour ignorer le problème ou prétendre qu'il ne s'est pas produit. Au contraire, la découverte devrait inciter 8Belts à montrer à ses clients qu'il est déterminé à ne pas laisser cela se reproduire.