La valeur des données d'un utilisateur privé pendant une décennie a été révélée par le rallye

Lorsque Zack Whittaker de TechCrunch est entré en contact avec Rallyhood pour parler d' un compartiment S3 mal configuré qui exposait un grand nombre de données utilisateur, on lui a d'abord dit que la base de données qui fuyait était utilisée uniquement à des fins de test et que les informations réelles des personnes étaient conservées dans un godet hautement sécurisé. Plus tard, Chris Alderson, directeur de la technologie du Rallyhood, a fourni une version différente des événements. Il a admis que lors d'un projet de migration, «les autorisations ont été laissées par erreur ouvertes» sur l'un des compartiments de stockage de l'entreprise pendant «une brève période». Au moment d'écrire ces lignes, c'est la seule information que Rallyhood a partagée avec le reste du monde concernant l'incident, et il faut dire que ce n'est pas idéal compte tenu de la quantité et de la nature des données divulguées.

Un autre jour, un autre seau S3 qui fuit expose les fichiers de millions d'utilisateurs

La fuite a été découverte par un chercheur en sécurité qui préfère être connu par son pseudo Twitter, Timeless. Timeless a décidé d'utiliser l'influence de TechCrunch afin de garantir que les données soient sécurisées le plus rapidement possible, ce qui, compte tenu des activités de Rallyhood et de l'énorme base d'utilisateurs, était en effet la tâche la plus urgente.

La popularité du site Web a été considérablement renforcée lorsque Yahoo a annoncé qu'il était sur le point de supprimer les groupes Yahoo, et des hordes de personnes ont déplacé leurs discussions vers Rallyhood. Nous devons cependant souligner que le Rallyhood est bien plus qu'un simple tableau de messagerie. C'est également une plateforme de collaboration qui est utilisée par des organisations de toutes formes et tailles dans le but d'organiser et de suivre des tâches et des événements. Cela signifie que Rallyhood doit traiter et stocker un grand nombre de données.

La société ne dira pas combien d'utilisateurs actifs la plateforme compte, et il n'est pas vraiment possible d'estimer le nombre exact de personnes touchées par la fuite pour le moment. Ce que nous savons, c'est que le compartiment S3 contenait une énorme quantité de 4,1 To de données et que, grâce à une erreur de configuration trop courante, il était accessible au public sans mot de passe. Selon Zack Whittaker, l'URL était également "facilement devinable", ce qui rendait la possibilité pour quelqu'un de mettre la main sur les informations encore plus réelle.

Certaines des données exposées sont extrêmement sensibles

Whittaker a examiné certains des fichiers et a trouvé des coordonnées qui lui ont permis de contacter les utilisateurs concernés et de vérifier l'authenticité de la fuite. Malheureusement, en plus des téléphones et des adresses e-mail, le seau contenait beaucoup plus d'informations.

Le journaliste de TechCrunch a trouvé quoi que ce soit, des contrats et des feuillets d'autorisation aux accords de non-divulgation et aux listes de mots de passe partagés qui n'étaient certainement pas censés être accessibles au public. Comme nous l'avons déjà mentionné, le CTO de Rallyhood a essayé de limiter les dommages en disant à TechCrunch que l'exposition n'avait pas duré longtemps, mais il a préféré ne pas dire à quel point "brève" la "brève période" était. Ce que nous savons avec certitude, c'est que certains des fichiers de la base de données divulguée avaient un horodatage 2011. Malheureusement, malgré le fait qu'il y avait près d'une décennie de fichiers privés dans la base de données mal configurée, Rallyhood a refusé de dire à TechCrunch si la société avait l'intention d'en informer les personnes potentiellement affectées.

Dans l'ensemble, jusqu'à présent, Rallyhood a démontré un manque de transparence marqué dans sa gestion de ce qui est sans aucun doute une fuite de données assez grave. L'entreprise a clairement commis une erreur, ce qui n'est pas une bonne chose, mais la très mauvaise impression vient du fait qu'elle agit comme si elle n'était pas prête à accepter la responsabilité.